Check Point ostrzega przed luką zero-day w serwerze zarządzania wykorzystaną w atakach

Firma Check Point poinformowała o wykorzystaniu wcześniej nieznanej luki w swoim serwerze Security Management Server podczas kilku ukierunkowanych ataków, które miały miejsce 23 lipca.

Błąd oznaczony jako CVE-2026-93616 to luka typu przechodzenie ścieżki w usłudze sieciowej serwera zarządzania. Usługa ta nie ogranicza w odpowiedni sposób dostępu do plików i folderów w ramach żądań. Pozwala to napastnikowi z dostępem do usługi sieciowej serwera na przesyłanie i uruchamianie skryptów bez konieczności logowania. Check Point ocenił tę podatność na 9,8 w skali CVSS. Poprawka dla serwera, który kontroluje polityki zapór ogniowych dla zarządzanych bramek, została wydana 22 września.

Firma nie podała tożsamości napastników ani celów lipcowych ataków, a także nie określiła działań podjętych przez hakerów po wykorzystaniu luki. Wskazano, że wersja R82.20 jest dotknięta problemem. Poprawki wydane 16 września w ramach LivePatch, takie jak Take 28 lub Take 29 dla R82.20, nie eliminują podatności CVE-2026-93616.

Niezależnie od powyższego, Check Point zgłosił próby wykorzystania luki w sieci VPN od 12 września. Problem ten, śledzony jako CVE-2026-85102, dotyczy sposobu sprawdzania certyfikatów przez bramki podczas nawiązywania połączenia VPN i może pozwolić niezalogowanemu użytkownikowi na uruchomienie kodu. Ataki wymierzone były w klientów Spark, linii zapór ogniowych dla małych firm. Podatność dotyczy produktów Security Gateway oraz Spark w wersjach R81, R81.10, R81.10.x, R81.20, R82, R82.00.x oraz R82.10, gdy korzystają one z VPN typu Site-to-Site lub Remote Access.

Poprawki dla luki VPN są dostępne od 9 września. Check Point zauważył, że próby ataków pochodziły z infrastruktury anonimizującej, w tym z serwerów proxy i usług VPN. Firma nie potwierdziła, czy którakolwiek z tych prób zakończyła się sukcesem, ale zaznaczyła, że klienci, którzy zainstalowali poprawkę, są chronieni.