Check Point Software пусна спешни корекции за критична уязвимост в Check Point Management Server (CVE-2026-93616), която се експлоатира още от 23 юли 2026 г.

Компанията също така потвърди, че малко след това са започнали опити за сканиране и експлоатация на уязвимост за отдалечено изпълнение на код преди автентификация (RCE) (CVE-2026-85102) в Check Point (Quantum) Security Gateway, за която бяха пуснати корекции за сигурност на 9 септември 2026 г.

„Към момента на пускане на корекциите нямахме доказателства за активна експлоатация. Сега обаче наблюдаваме опити за атаки срещу клиенти на Check Point Spark в световен мащаб“, разкри Лотеми Финкелщайн, вицепрезидент по изследванията в компанията.

Относно CVE-2026-93616

CVE-2026-93616 е уязвимост от тип path traversal преди автентификация в уеб услугата Check Point Management и засяга следните продукти на Check Point: Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server, SmartEvent.

Атакуващите могат да я експлоатират, за да качват и изпълняват произволни скриптове върху Check Point Management Server, като някои вече са го направили: „Check Point има информация за няколко клиенти, които вече са били атакувани.“

Доставчикът предостави корекции за сигурност, както и индикатори за компрометиране (IoCs), които клиентите трябва да проверят.

Клиентите, които не могат веднага да инсталират предоставените спешни корекции, могат да ограничат риска от експлоатация, като ограничат достъпа до своите Management сървъри само до доверени вътрешни IP адреси.

Относно CVE-2026-85102

CVE-2026-85102 е дефект за заобикаляне на автентификацията и RCE, който засяга Check Point Security Gateway. По-конкретно той засяга защитните стени Check Point Spark (както локално, така и централно управлявани).

Check Point Spark е линия от защитни стени от следващо поколение, предназначени за малки и средни предприятия и доставчици на управлявани услуги (MSPs).

„От 12 септември 2026 г. наблюдаваме вълна от опити за атаки срещу клиенти на Spark. Опитите произлизат от анонимизираща инфраструктура, включително VPN услуги и проксита“, отбелязват от Check Point. При опитите са използвани специфични субекти на сертификати, описани в бюлетина за сигурност.

Компанията препоръчва на клиентите, които все още не са инсталирали корекцията за CVE-2026-85102, да го направят незабавно, както и да:

  • Прегледат логовете за необичайни влизания през Mobile Access, базирани на сертификати
  • Търсят последващи действия на злонамерен код (втори етап), произлизащи от съмнителни влезли потребители през Mobile Access, например вътрешно сканиране на портове и услуги

Налични са опции за намаляване на риска за тези, които не могат да обновят системите си веднага, но само за централно управлявани Spark защитни стени.

Zero-day уязвимости в Arista и F5

И двете уязвимости в Check Point бяха добавени във вторник към каталога на CISA за познати експлоатирани уязвимости (Known Exploited Vulnerabilities), заедно с още две уязвимости, експлоатирани при атаки от тип нулев ден (zero-day):

  • CVE-2026-93952, дефект при проверка на входните данни, засягащ Arista VeloCloud Orchestrator, централната платформа за управление на VeloCloud SD-WAN.
  • CVE-2026-94127, уязвимост в BIG-IP APM (Access Policy Manager) на F5 Networks, която позволява на неавтентифициран атакуващ да изпрати злонамерен мрежов трафик към системата и да изпълни RCE, ако екземплярите са конфигурирани като OAuth Authorization Server.

Подробности за атаките не са разкрити, но и двата доставчика споделиха индикатори за компрометиране.

CISA нареди на американските граждански федерални агенции да отстранят и четирите уязвимости до петък (25 септември) и да проверят дали системите им са били компрометирани. Организациите от частния сектор също трябва да направят това.