Check Point предупреди, че атакуващи активно експлоатират две критични уязвимости в нейните VPN и продукти за управление, позволявайки неавтентифициран отдалечен достъп и евентуално отдалечено изпълнение на код.

И двата дефекта са с CVSS оценка за сериозност 9.8, като компанията е пуснала корекции, които засегнатите организации трябва да инсталират незабавно.

Първият проблем, проследяван като CVE-2026-85102, засяга внедрявания на Check Point Security Gateway и Spark Firewall, които използват Remote Access VPN или автентификация за Site-to-Site VPN, базирана на сертификати.

Уязвимостта произтича от неправилна валидация на данни от сертификата по време на VPN преговорите, което може да позволи на отдалечен атакуващ да изпълни произволен код без валидни идентификационни данни.

Check Point пусна корекция за сигурност за CVE-2026-85102 на 9 септември 2026 г. Към този момент компанията не беше установила активност по експлоатация.

Check Point VPN Flaws Exploit

Въпреки това Check Point по-късно потвърди, че киберпрестъпници са започнали опити да експлоатират уязвимостта срещу клиенти на Spark Firewall от 12 септември. Атаките са наблюдавани в световен мащаб и произхождат от инфраструктура за анонимизация, включително VPN услуги и прокси мрежи.

Атакуващите са използвали подозрителни стойности за сертификата за VPN като CN=vpn, OU=users, O=global; CN=vpn-user, OU=users, O=global; и CN=vpnuser, OU=users, O=global. Тези индикатори не трябва да се третират като пълен списък за откриване, тъй като авторите на заплахи може да използват различни субекти на сертификати при бъдещи опити.

Вторият дефект е наскоро разкрита уязвимост от тип нулев ден (CVE-2026-93616), засягаща среди с Check Point Security Management и Multi-Domain Security Management.

Това е проблем, свързан с обхождане на директории преди автентификация и качване на файлове, който може да даде възможност на атакуващ да качва и изпълнява произволни скриптове на изложен сървър за управление. От Check Point заявиха, че знаят за шепа клиенти, засегнати от атаки в реалния свят.

CVE-2026-93616 засяга продуктите Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server и SmartEvent. Smart-1 Cloud, Check Point Firewall Appliances и Check Point Spark Firewall не са засегнати от тази уязвимост в сървъра за управление.

Недостатъкът може да позволи на неавтентифициран атакуващ да злоупотреби със последователности за обхождане на директории, като например ../, за достъп до непредвидени пътища и зареждане на съдържание, контролирано от атакуващия.

Практически, успешната експлоатация би могла да даде на нападателя път за изпълнение на зловредни скриптове върху платформа за управление с високи привилегии, създавайки рискове от манипулиране на политики за защитни стени, кражба на идентификационни данни, разузнаване на мрежата и хоризонтално придвижване (lateral movement).

Организациите, използващи уязвими продукти на Check Point, трябва незабавно да инсталира наличните Jumbo Hotfixes или hotfixes за сигурност.

За CVE-2026-85102 Check Point защитава LivePatch Take 26 или по-нови поддържани версии на Jumbo Hotfix. Компанията отбелязва, че R82.20 не е засегнат от този проблем с VPN.

За CVE-2026-93616 администраторите трябва да обновят до R82.20 Security Hotfix или поддържани версии на Jumbo Hotfix. От Check Point посочват, че LivePatch Take 28 и Take 29 не коригират тази уязвимост и LivePatch не е наличен поради естеството на необходимата корекция.

Администраторите трябва да прегледат дневниците на Mobile Access за аномални влизания във VPN, базирани на сертификати, и да разследват подозрителна активност, извършвана от наскоро автентифицирани потребители.

Вътрешното сканиране на портове или откриването на услуги след съмнително влизане във VPN може да показва активност на проникване от втори етап. За сървърите за управление Check Point препоръчва ограничаване на достъпа до TCP порт 19009 само до доверени IP адреси.

Екипите по сигурност трябва също така да инспектират дневниците за управление за необичайно дълги потребителски имена, съобщения за грешки, включващи ReflectionUtils, и файлови пътища, съдържащи модели за обхождане на директории. Тези артефакти могат да сигнализират за опит за експлоатация на CVE-2026-93616.

Активната експлоатация на двата дефекта подчертава продължаващата важност бързо да се инсталират корекции за сигурност на свързаната с интернет VPN и сигурностно-управленска инфраструктура.

Тези системи често се намират в периметъра на мрежата или контролират критични политики за сигурност, което ги прави високостойностни цели за оператори на зловреден софтуер за откуп (ransomware), брокери на достъп и държавно подкрепяни злонамерени субекти.