Check Point otklanja iskorišćeni propust u Management Serveru
Check Point je 22. septembra objavio ispravku za CVE-2026-93616, ranije nepoznati propust u Security Management Serveru koji je iskorišćen u malom broju ciljanih napada 23. jula. Ranjivost je ocenjena sa 9,8 od 10 po CVSS skali i omogućava napadaču koji može da pristupi veb servisu servera da pokrene skripte bez prijavljivanja.
Security Management Server upravlja politikama zaštitnih zidova za Check Point gateway uređaje. Zbog te uloge, incident na ovom sistemu može imati širi značaj od kompromitovanja pojedinačnog mrežnog uređaja. Check Point nije objavio identitet meta, napadača niti aktivnosti koje su usledile posle iskorišćavanja propusta.
Kako funkcioniše ranjivost i koje verzije su pogođene
CVE-2026-93616 je propust tipa path traversal u veb servisu. Servis nedovoljno ograničava fajlove i direktorijume do kojih zahtev može da dođe, što napadaču omogućava da na server otpremi skripte, a zatim ih izvrši.
U CVE evidenciji kao pogođeni su navedeni R82.20 bez instaliranog Jumbo Hotfix paketa, R82.10 sa Jumbo Hotfix Take 44 ili nižim, R82 sa Take 126 ili nižim, R81.20 sa Take 166 ili nižim i R81.10 sa Take 190 ili nižim. R81.10 je označen kao verzija bez podrške, kao i R81, R80.40, R80.30, R80.20, R80.10 i R80. Check Point u svom obaveštenju navodi R82.20 kao pogođen bez dodatnog uslova.
LivePatch Take 28, odnosno Take 29 za R82.20, objavljen 16. septembra za zasebni propust CVE-2026-91843, ne otklanja CVE-2026-93616. Takođe, verzija ažurirana samo do nivoa koji rešava raniji VPN propust CVE-2026-85103 može i dalje ostati izložena novom propustu u upravljačkom serveru.
Odvojeni pokušaji napada na Spark VPN
Check Point je zasebno saopštio da od 12. septembra beleži pokušaje iskorišćavanja CVE-2026-85102, VPN ranjivosti ispravljene 9. septembra. Problem se odnosi na proveru sertifikata pri uspostavljanju VPN veze i može omogućiti neautentifikovanom napadaču izvršavanje koda na gateway uređaju.
Pogođeni su Security Gateway i Spark zaštitni zidovi, centralno ili lokalno upravljani, na verzijama R81, R81.10, R81.10.x, R81.20, R82, R82.00.x i R82.10. Holandski NCSC navodi da se rizik odnosi na uređaje koji koriste Site-to-Site VPN ili Remote Access VPN. Pokušaji su dolazili preko infrastrukture za anonimizaciju, uključujući VPN servise i proksije.
Administratori treba da pregledaju neuobičajene Mobile Access prijave zasnovane na sertifikatima i aktivnosti korisnika nakon prijavljivanja, naročito skeniranje internih portova i servisa. Za CVE-2026-93616 potrebno je uporediti izdanje i Jumbo Hotfix Take sa listom pogođenih verzija, primeniti ispravku iz Check Point dokumentacije i proveriti indikatore kompromitacije. Taj redosled je važan jer instaliranje zakrpe samo po sebi ne pokazuje da li je server već bio napadnut, a obrazac opisan u obrascu savremenih lanaca napada podseća da se procena rizika mora osloniti i na tragove aktivnosti, ne samo na stanje ažuriranja.
Praktičan zaključak za organizacije
Timovi koji koriste Check Point upravljačke servere treba da prioritet daju proveri izloženosti CVE-2026-93616 i lovu na tragove kompromitacije, a zatim da odvojeno potvrde zakrpljenost Spark i VPN okruženja za CVE-2026-85102. Evidencija tačne verzije, Jumbo Hotfix Take nivoa i rezultata pregleda logova daje jasnu osnovu za zatvaranje oba rizika.