שתי חולשות קריטיות ב-Check Point מנוצלות בפועל, ואחת מהן נוצלה חודשיים לפני התיקון
חולשה בשרתי הניהול של Check Point נוצלה כבר ביולי, לפני שהיה לה עדכון. חולשה שנייה, בשערי ה-VPN ובחומות האש של Spark, הותקפה שלושה ימים אחרי שתוקנה.
TL;DR בקצרה
- ב-22 בספטמבר הודיעה Check Point על ניצול פעיל של שתי חולשות בדירוג 9.8 מתוך 10 במוצריה.
- CVE-2026-93616 בשרת הניהול מאפשרת לתוקף לא מזוהה להריץ קוד. התקיפות הראשונות זוהו ב-23 ביולי, והתיקון יצא רק ב-22 בספטמבר.
- CVE-2026-85102 בשערי ה-VPN ובחומות האש של Spark תוקנה ב-9 בספטמבר, וגל ניסיונות תקיפה החל ב-12 בספטמבר.
- LivePatch לא סוגר את חולשת שרת הניהול. צריך להתקין Jumbo Hotfix מתאים ולבדוק סימני חדירה.
תוקפים מנצלים בפועל חולשות קריטיות ב-Check Point VPN ובשרתי הניהול של החברה. Check Point, מחברות הסייבר הגדולות בישראל, פרסמה ב-22 בספטמבר הודעה דחופה ללקוחות. שתי החולשות קריטיות, שתיהן בדירוג 9.8 מתוך 10, ותוקפים כבר מנצלים אותן. תוקפים ניצלו את החולשה בשרתי הניהול כבר ביולי, חודשיים לפני שהיה לה תיקון. את החולשה השנייה, בשערי ה-VPN, תקפו שלושה ימים בלבד אחרי שיצא לה עדכון.
CVE-2026-93616: השתלטות על שרת הניהול בלי סיסמה
החולשה החמורה ביותר מבחינת ההשלכות היא CVE-2026-93616. CVE הוא מספר זיהוי בינלאומי לחולשות אבטחה. זו פרצת path traversal, כלומר יציאה לא מורשית מהתיקייה שהשרת אמור לעבוד בה. היא פוגעת בשירות הווב של Check Point Management. לפי החברה, תוקף שלא התחבר יכול לגרום לשרת להריץ סקריפט מנתיב שרירותי. הוא יכול גם לטעון קוד Java לבחירתו. בפועל, זו שליטה בשרת שמנהל את מדיניות חומות האש של הארגון כולו.
Check Point מתארת ״קומץ התקפות ממוקדות״ ו״ניצול מוגבל״. היא ציינה שזיהתה תקיפות כבר ב-23 ביולי 2026. לפי Cyber Security News, שסיכם את הנחיות החברה, הרכיבים הפגיעים הם Security Management Server, שרתי Multi-Domain, שרתי Log ו-SmartEvent. הגרסאות הפגיעות הן R82.20 ו-R82.10 עד Jumbo Hotfix Take 44. בנוסף, פגיעות גרסאות R82 עד Take 126, R81.20 עד Take 166 ו-R81.10 עד Take 190. גם כל גרסאות R80 ו-R81 הישנות פגיעות, והחברה כבר לא תומכת בהן.
התיקונים זמינים ב-R82.10 Take 45 ומעלה וב-R82 Take 127. הם זמינים גם ב-R81.20 Take 170 וב-R81.10 Take 192. ל-R82.20 יש Security Hotfix ייעודי. החברה מבהירה ש-LivePatch, מנגנון התיקון החם שלה, אינו סוגר את החולשה. הוא גם לא יקבל עדכון עבורה. Smart-1 Cloud כבר מוגן, וחומות האש עצמן אינן פגיעות לחולשה הזאת.
Check Point VPN: שלושה ימים מהעדכון ועד ההתקפה
Security Gateway וחומות האש לעסקים קטנים מסדרת Spark בודקים תעודות דיגיטליות בזמן הקמת חיבור VPN. החולשה השנייה, CVE-2026-85102, קיימת בבדיקה הזאת. גם היא מאפשרת הרצת קוד בלי הזדהות.
Check Point פרסמה את התיקון ב-9 בספטמבר. כבר מ-12 בספטמבר זיהתה Check Point גל ניסיונות תקיפה נגד לקוחות Spark ברחבי העולם. הניסיונות הגיעו משירותי VPN ופרוקסי שמסתירים את מקור התקיפה. ב-23 בספטמבר הוסיפה סוכנות הסייבר האמריקאית CISA את שתי החולשות לקטלוג החולשות המנוצלות שלה.
Check Point VPN ושרתי ניהול: למה דווקא מוצרי האבטחה ביעד
חומות אש, שערי VPN ושרתי ניהול יושבים בנקודה הרגישה ביותר ברשת. הם מחליטים מה נכנס ומה יוצא. לכן הם הפכו ליעד מועדף. כפי שאמר ל-CSO אהרון בירדסלי מ-Securonix, ״אין צורך לשבור את חומת האש כשאפשר להגיד לה מה לאשר״. מי שמשתלט על שרת הניהול יכול לשנות את הכללים עצמם. כך הוא פותח פתח שקשה מאוד לזהות.
רבים מהארגונים והעסקים בישראל עובדים עם מוצרי Check Point. עבורם הנתון החשוב הוא הפער בין 23 ביולי, מועד התקיפות הראשונות, לבין 22 בספטמבר, מועד התיקון. גם מי שמעדכן הכל בזמן היה חשוף חודשיים. לכן התקנת העדכון היא רק חצי מהעבודה. צריך גם לבדוק אם מישהו כבר היה בפנים.
מה זה אומר עבורכם
- עדכנו את שרתי הניהול מיד: התקינו את ה-Jumbo Hotfix או ה-Security Hotfix המתאים לגרסה שלכם. פעלו לפי מסמך sk1000171 של Check Point. אל תסתמכו על LivePatch.
- עדכנו שערי VPN וקופסאות Spark: ודאו שהתקנתם את התיקון מ-9 בספטמבר (sk1000117). בעסק קטן, בקשו מהספק או מהאינטגרטור אישור בכתב שהוא התקין אותו.
- צמצמו את החשיפה: לפי ההנחיות, הסתירו את שרתי הניהול מאחורי Security Gateway. הגבילו את פורט TCP 19009 לכתובות מהימנות. השאירו ב-SmartConsole רק Trusted Clients פנימיים.
- חפשו סימני חדירה: Check Point ממליצה לבדוק יומנים בכל שרתי הניהול, הלוגים וה-SmartEvent. הבדיקה נחוצה גם בשרתים שאינם חשופים לאינטרנט. בצד ה-VPN, חפשו התחברויות חריגות שמבוססות על תעודה. חפשו גם סריקות פנימיות של פורטים מצד משתמשים שמחוברים.
- תכננו יציאה מגרסאות ישנות: Check Point כבר לא תומכת בגרסאות R80 ו-R81. ההנחיות לא כוללות עבורן גרסה מתוקנת.
מקורות והרחבה
- Security Advisory: Action Required: Active Exploitation of CVE-2026-85102 and a Management Pre-Authentication Vulnerability CVE-2026-93616Check Point
- Check Point Management Server 0-Day Vulnerability Actively Exploited in AttacksCyber Security News
- Check Point hacked: The security software protecting your network has become a prime attack targetCSO Online
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
