Check Point ostrzega przed eksploatacją zerowego dnia w serwerach zarządzania bezpieczeństwem

Check Point Software wydał nagłe poprawki, aby naprawić krytyczny błąd w serwerze zarządzania bezpieczeństwem, który mógłby pozwolić atakującym uruchamiać dowolne skrypty. Serwer zarządzania bezpieczeństwem jest centralnym repozytorium, które przechowuje i zarządza politykami bezpieczeństwa, przetwarza zmiany administratorów i zbiera dzienniki systemowe w sieciach przedsiębiorstw. Błąd ten, oznaczony jako CVE-2026-93616, pozwala nieautoryzowanym aktorom zagrożenia na przesyłanie i uruchamianie dowolnych skryptów na podatliwych serwerach zarządzania Check Point przy niskiej złożoności ataków. Agencja ds. Cyberbezpieczeństwa i Bezpieczeństwa Infrastruktury (CISA) i FBI zachęcały firmy oprogramowania od maja 2024 roku do usuwania słabości związanych z przechodzeniem ścieżek z ich produktów przed wysyłką, stwierdzając, że takie problemy bezpieczeństwa "są nazywane 'nieprzepraszalnymi' od co najmniej 2007 roku." Check Point naprawił błąd w Hotfixie bezpieczeństwa R82.20 i stwierdził, że pełna lista dotkniętych produktów obejmuje serwer zarządzania bezpieczeństwem, serwer zarządzania wielodomenowym, serwer logów, serwer logów wielodomenowych i SmartEvent. "Ta podatność jest eksploatowana w dzikości.

Check Point jest świadomy kilku klientów, którzy zostali zaatakowani," ostrzegła firma, zachęcając zespoły bezpieczeństwa do sprawdzania swoich sieci pod kątem dowodów udanej eksploatacji za pomocą wskaźników kompromitacji udostępnionych w tym komunikacie bezpieczeństwa. W oddzielnym komunikacie Check Point wiceprezes ds. badań Lotem Finkelstein powiedział, że ataki rozpoczęły się 12 września, kiedy firma zaobserwowała falę prób eksploatacji ukierunkowanych na klientów Spark. Check Point udostępnia również tymczasowe środki łagodzenia dla klientów, którzy nie mogą natychmiast wdrożyć poprawki na podatliwych systemach, w tym wzmocnienie podatliwych systemów przed atakami poprzez umieszczenie ich za zaporą ogniową i ograniczanie dostępu do zaufanych adresów IP. W ostatnich miesiącach Check Point ostrzegał klientów, że inne wady są aktywnie eksploatowane w dzikości. Na przykład dwa lata temu CISA oznakował błąd (CVE-2024-24919) w bramach bezpieczeństwa Quantum Check Point jako aktywnie eksploatowany przez grupy ransomware, potwierdzając raport Orange Cyberdefense CERT, który łączył te ataki z ransomware NailaoLocker. Powiązany z ransomware Qilin również eksploatował zerowy dzień omijania uwierzytelniania (CVE-2026-50751) od czerwca, podczas gdy drugi zerowy dzień omijania uwierzytelniania (CVE-2026-16232) jest eksploatowany od co najmniej lipca, aby uwierzytelnić się z uprawnieniami administratora na panelach administracyjnych SmartConsole.

Dwa tygodnie temu Holenderski Narodowy Centrum Cyberbezpieczeństwa (NCSC-NL) również ostrzegł organizacje, aby pilnie naprawić dwa krytyczne błędy VPN Check Point (CVE-2026-85102 i CVE-2026-85103), ponieważ "oczekuje, że próby eksploatacji wystąpią wkrótce." W ostatnim czasie, w piątek, Check Point wydał aktualizacje bezpieczeństwa, aby naprawić kolejny krytyczny błąd omijania uwierzytelniania (CVE-2026-16232) w procesie logowania do serwerów zarządzania bezpieczeństwem i bramek bezpieczeństwa, który pozwala atakującym wykonywać kod z uprawnieniami roota na systemach zarządzania. Chociaż firma nie oznakowała jeszcze CVE-2026-16232 jako aktywnie eksploatowanego, stwierdziła, że zespoły bezpieczeństwa mogą identyfikować ataki, szukając alertów "Administrator nie mógł się zalogować: Nazwa użytkownika za długa" w dziennikach audytu i logowania administratora.