Check Point предупредува дека хакери ја искористуваат RCE ранливоста во VPN на Security Gateway

Објавено: 24.09.2026

Компанијата за сајбер-безбедност Check Point потврди активна експлоатација на CVE-2026-85102, ранливост за далечинско извршување код (RCE) пред автентикација, која се наоѓа во функционалноста за обработка на VPN сертификати кај нејзиниот производ Security Gateway.

Истото безбедносно известување предупредува и на актерите на закани кои ја искористуваат ранливоста од типот Path Traversal пред автентикација означена како CVE-2026-93616. Таа влијае на Management web service и може да овозможи извршување скрипти и вчитување Java класи.

Компанијата наведува дека CVE-2026-93616 се искористува како zero-day од 23 јули.

На 10 септември, холандскиот Национален центар за сајбер-безбедност (NCSC) предупреди за проблемот со Security Gateway и ги повика корисниците да ги применат достапните безбедносни ажурирања, бидејќи се очекуваше непосредна експлоатација.

Check Point сега потврди дека малициозната активност започнала на 12 септември, при што напаѓачите користеле VPN-и и proxy-сервери за да ја сокријат својата локација.

„Почнувајќи од 12 септември 2026 година, забележавме бран обиди за експлоатација насочени кон корисниците на Spark“, се наведува во предупредувањето на Check Point.

Компанијата наведува дека обидите потекнувале од инфраструктура за анонимизација, вклучувајќи VPN услуги и proxy-сервери, при што биле користени сертификати со следните имиња:

CN=vpn,OU=users,O=global
CN=vpn-user,OU=users,O=global
CN=vpnuser,OU=users,O=global

Сепак, компанијата за сајбер-безбедност забележува дека овие три имиња ги одразуваат само моменталните набљудувања и дека можеби се користат и други.

CISA сега ги додаде двете ранливости во својот каталог на Познати експлоатирани ранливости (KEV), при што ги повика федералните агенции да ги применат достапните поправки и/или мерки за ублажување најдоцна до 25 септември 2026 година.

Намалување на ризикот

Во своето безбедносно известување за CVE-2026-85102, Check Point им препорачува на администраторите да го инсталираат Check Point LivePatch Take 26 на поддржаните R81.20, R82 или R82.10 gateway уреди, или да инсталираат поправен Jumbo Hotfix: R81.20 Take 166, R82 Take 126, R82.10 Take 44 или R81.10 Take 190, или понова верзија.

Корисниците исто така треба да ги ажурираат Spark firewall уредите на R82.00.10 Build 2325 или R81.10.17 Build 4968, или понова верзија.

На системските администратори им се препорачува да проверат дали LivePatch е активен со извршување на командата cpinfo -y CPupdates на Security Gateway во expert mode.

Во известувањето конкретно се предупредува дека некои корисници кои инсталирале претходен offline LivePatch пакет имаат потреба од Take 26 за целосна покриеност.

Доколку ажурирањето не е можно, се препорачува да се оневозможат VPN implied rules и да се креираат експлицитни правила кои го ограничуваат Site-to-Site VPN на UDP/500 и UDP/4500 само кон конкретни IP-адреси на peer уредите.

За Remote Access VPN, треба да се дозволат само потребните услуги преку UDP/500, UDP/4500, TCP/443 и TCP/80, каде што е применливо, и да се ограничат опсезите на IP-адреси на клиентите од изворот, каде што е можно.

Check Point нагласува дека овие мерки за ублажување не се применуваат на локално управуваните Spark firewall уреди.

За совети за ублажување и проверка на потенцијална компромитација поврзани со Management web service CVE-2026-93616, Check Point упатува на овој напис за поддршка.

Извори:

Bleeping Computer – Check Point warns of hackers exploiting Security Gateway VPN RCE flaw Bleeping Computer