Компанията за киберсигурност Check Point потвърди активна експлоатация на CVE-2026-85102 – уязвимост за отдалечено изпълнение на код (RCE) преди автентификация във функционалността за обработка на VPN сертификати на нейната линия продукти Security Gateway.

Същото предупреждение посочва и за атакуващи, които експлоатират уязвимост от тип path traversal преди автентификация, следена като CVE-2026-93616, която засяга уеб услугата Management и може да позволи изпълнение на скриптове и зареждане на Java класове.

Компанията заявява, че CVE-2026-93616 се експлоатира като уязвимост от тип нулев ден от 23 юли.

На 10 септември нидерландският Национален център за киберсигурност (NCSC) предупреди за проблема в Security Gateway и призова потребителите да инсталират наличните актуализации за сигурност, тъй като се очакваше предстояща експлоатация.

Check Point вече потвърди, че злонамерената активност е започнала на 12 септември, като киберпрестъпниците са използвали VPN мрежи и прокси сървъри, за да скрият местоположението си.

„Започвайки от 12 септември 2026 г., наблюдавахме вълна от опити за експлоатация срещу клиенти на Spark“, се казва в предупреждението на Check Point.

„Опитите са произлезли от анонимизираща инфраструктура, включително VPN услуги и проксита“, заявяват от компанията, като добавят, че са използвани сертификати със следните субекти:

  • CN=vpn,OU=users,O=global
  • CN=vpn-user,OU=users,O=global
  • CN=vpnuser,OU=users,O=global

Въпреки това компанията за киберсигурност отбеляза, че трите субекта отразяват само текущите наблюдения и е възможно да се използват и други.

CISA добави двете уязвимости в своя каталог с известни експлоатирани уязвимости (KEV), като призова федералните агенции да приложат наличните корекции за сигурност и/или мерки за ограничаване на риска до 25 септември 2026 г.

Ограничаване на риска

Препоръката на Check Point относно CVE-2026-85102 съветва администраторите да инсталират Check Point LivePatch Take 26 на поддържаните портали R81.20, R82 или R82.10, или да инсталират коригиран Jumbo Hotfix: R81.20 Take 166, R82 Take 126, R82.10 Take 44, или R81.10 Take 190, или по-нова версия.

Клиентите трябва също така да обновят защитните стени Spark до R82.00.10 Build 2325 или R81.10.17 Build 4968, или по-нова версия.

Системните администратори се съветват да проверят дали LivePatch е активен чрез изпълнение на командата cpinfo -y CPupdates на Security Gateway в експертен режим.

Бюлетинът специално предупреждава, че някои клиенти, които са инсталирали по-ранен офлайн пакет LivePatch, се нуждаят от Take 26 за пълно покритие.

Ако актуализирането не е възможно, се препоръчва да се деактивират подразбиращите се VPN правила (VPN implied rules) и да се създадат изрични правила, които ограничават Site-to-Site VPN на UDP/500 и UDP/4500 до конкретни IP адреси на партньори.

За Remote Access VPN позволете само необходимите услуги през UDP/500, UDP/4500, TCP/443 и TCP/80, където е приложимо, и ограничете IP диапазоните на изходните клиенти, когато е възможно.

Check Point отбелязва, че тези мерки за ограничаване на риска не се прилагат за локално управлявани защитни стени Spark.

За съвети относно ограничаването на риска и откриването на уязвимостта в уеб услугата Management CVE-2026-93616 Check Point препраща към тази статия за поддръжка.