Check Point חשפה שתי חולשות קריטיות ב-VPN שמאפשרות להשתלט על שערי אבטחה
החולשות, בציון 9.8, מאפשרות לתוקף מרוחק להריץ קוד על שערי Check Point ועל חומות האש של Spark עוד לפני הזדהות. התיקון זמין דרך LivePatch ו-Jumbo Hotfix, וגרסאות ישנות נשארות בלי תיקון.
TL;DR בקצרה
- ב-9 בספטמבר 2026 פרסמה Check Point את CVE-2026-85102 ו-CVE-2026-85103, שתיהן בציון 9.8 מתוך 10.
- החולשות יושבות בעיבוד תעודות במהלך הקמת חיבור VPN, כלומר לפני שהצד השני הזדהה.
- CVE-2026-85103 פוגעת בכל שרתי הניהול של Check Point, גם אם VPN לא מוגדר בכלל.
- גרסה R82.20 אינה מושפעת. גרסאות R80 עד R81.10 כבר לא נתמכות ולא יקבלו תיקון.
חברת הסייבר הישראלית Check Point פרסמה ב-9 בספטמבר 2026 התרעה דחופה ללקוחותיה. שתי חולשות קריטיות ב-VPN של Check Point, בציון 9.8 מתוך 10, פוגעות בשערי האבטחה שלה. הן מאפשרות לתוקף להריץ קוד על המכשיר מרחוק, בלי שם משתמש וסיסמה. את החולשות מצא צוות המחקר של החברה עצמה. בזמן הפרסום היא לא זיהתה ניצול שלהן. היא הפיצה את התיקונים באותו יום, ואפשר להתקין אותם דרך LivePatch או Jumbo Hotfix.
CVE-2026-85102 ו-CVE-2026-85103: התקיפה מתרחשת לפני ההזדהות
שתי החולשות יושבות בשלב שבו השער מעבד תעודות דיגיטליות במהלך הקמת חיבור VPN. זה קורה עוד לפני שהצד השני הוכיח מי הוא. CVE-2026-85102 נובעת מבדיקה לא תקינה של נתוני תעודה במהלך המשא ומתן על החיבור. לפי Check Point, היא מאפשרת לעקוף את האימות ולהריץ קוד על ה-Security Gateway. CVE-2026-85103 היא גלישת זיכרון (heap overflow) ברכיב שמפענח את מבנה התעודות בפורמט ASN.1.
ההבדל ביניהן חשוב למי שמנהל את הציוד. לפי דף התמיכה sk1000117, החולשה הראשונה פוגעת בשערים ובחומות אש מסדרת Spark. הכוונה למכשירים שמפעילים Remote Access VPN. היא חלה גם על Site-to-Site VPN שמשתמש באימות מבוסס תעודות או מאפשר אותו. שערים שמחוברים לקהילות הצפנה רק באמצעות מפתח משותף מראש (Pre-Shared Key) אינם פגיעים לה. החולשה השנייה רחבה מהראשונה. לפי sk1000118, כל שרתי הניהול (Security Management Server) פגיעים לה. זה נכון בלי קשר להגדרות, גם כש-VPN לא מוגדר בכלל.
אילו גרסאות פגיעות ואיך מתקנים עם Jumbo Hotfix
הגרסאות הנתמכות שנפגעו הן R82.10, R82 ו-R81.20, וכן גרסאות Spark מסדרות R82.00.x ו-R81.10.x. גם גרסאות שכבר יצאו מתמיכה, מ-R80 ועד R81.10, פגיעות, ולהן לא יהיה תיקון. גרסה R82.20 אינה מושפעת. Check Point מציעה שתי דרכי תיקון: LivePatch ו-Jumbo Hotfix.
- LivePatch: מנגנון שמתקין תיקון דחוף בלי לשדרג את כל הגרסה. לקוחות שהפעילו התקנה אוטומטית קיבלו הגנה החל מ-9 בספטמבר. אפשר לוודא בפקודה
cplp listשהפלט כולל את שני מספרי ה-CVE. - Jumbo Hotfix: R82.10 מ-Take 44 ומעלה, R82 מ-Take 126, R81.20 מ-Take 166 ו-R81.10 מ-Take 190. ב-Spark: R82.00.10 מ-Build 2325 ו-R81.10.17 מ-Build 4968.
Check Point מציעה אפשרות למי שלא יכול לעדכן מיד. אפשר לבטל את החוקים המובלעים (implied rules) של ה-VPN. אחר כך אפשר להחליף אותם בחוקים שמתירים תעבורת VPN במפורש, רק מכתובות מוכרות. זה פתרון זמני, ושינוי שגוי בחוקים עלול לנתק חיבורים. הוא גם לא רלוונטי ל-Spark שמנוהל מקומית.
למה Jumbo Hotfix דחוף במיוחד בישראל
ציוד של Check Point נפוץ מאוד בארגונים ובעסקים בישראל. סדרת Spark מיועדת לעסקים קטנים ובינוניים. בעסקים כאלה לא פעם אין איש IT קבוע שעוקב אחרי התרעות. שער VPN הוא מטבעו מכשיר שחשוף לאינטרנט, ולכן הוא יעד מועדף לתוקפים. Check Point כבר התמודדה ב-2026 עם חולשת VPN אחרת, CVE-2026-50751. לפי Cloud Security Alliance, תוקפים ניצלו אותה החל ממאי. הארגון קשר אותה לקבוצת הכופרה Qilin.
גם גורמים ממשלתיים התייחסו להתרעה ברצינות. המרכז הלאומי לסייבר של הולנד (NCSC) פרסם ב-12 בספטמבר התרעה דחופה. הוא העריך שהסבירות לניצול וההשפעה גבוהות. בנוסף, הוא המליץ להגביל את הגישה ל-VPN לכתובות IP שאושרו מראש.
מה זה אומר עבורכם
- בדקו מה מותקן: הפקודה
cpinfo -y CPupdatesמציגה את הגרסה ואת ה-Jumbo Hotfix המותקנים. השוו לטבלת הגרסאות המתוקנות. - אל תשכחו את שרת הניהול: CVE-2026-85103 פוגעת בו גם בלי VPN. לכן הוא חייב להתעדכן כמו השערים.
- עסק קטן עם Spark: אם ספק או אינטגרטור מנהלים את הציוד, פנו אליו בכתב. בקשו אישור שהקושחה עודכנה לגרסה המתוקנת.
- גרסאות ישנות: שער על R80.x או R81.10 לא יקבל תיקון. הגבילו את הגישה ל-VPN לכתובות ידועות ותכננו שדרוג מיידי.
- אחרי העדכון, בדקו יומנים: Check Point ממליצה לחפש התחברויות מבוססות תעודה שאינן מוכרות. היא ממליצה לחפש גם כתובות מקור חריגות וסריקות פנימיות שבאו אחריהן.
מה קרה מאז
Check Point עדכנה ב-24 בספטמבר את דף התמיכה sk1000117. היא ציינה שזיהתה ניצול של CVE-2026-85102 נגד חומות אש מסדרת Spark החל מ-12 בספטמבר. Check Point גם הוסיפה רשימת סימנים לאיתור התחברויות חשודות. לקוחות שמתקינים LivePatch באופן ידני בגרסאות מסוימות צריכים חבילה מעודכנת (Take 26). כך הם יקבלו הגנה מלאה.
מקורות והרחבה
- sk1000117: CVE-2026-85102 VPN Authentication Bypass and Remote Code ExecutionCheck Point
- sk1000118: CVE-2026-85103Check Point
- Critical Check Point VPN Flaws Enable Remote Code ExecutionGBHackers
- Check Point VPN Flaws: Pre-Auth RCE Risk GuidanceCloud Security Alliance
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
