攻击者在 7 月 23 日对 Check Point 的安全管理服务器利用了一个之前未知的漏洞，该公司表示。
该漏洞，CVE-2026-93616，允许能够访问服务器 Web 服务的攻击者在不登录的情况下在其上运行脚本。Check Point 于 9 月 22 日发布了针对该服务器的修复，该服务器控制着其管理的 Check Point 网关的防火墙策略。
另外，Check Point 表示，自 9 月 12 日以来，攻击者一直试图利用其在 9 月 9 日修复的 VPN 漏洞。针对一个被追踪为 CVE-2026-85102 的漏洞的攻击，主要针对 Spark 客户，Spark 是 Check Point 为小型企业提供的防火墙系列。当修复发布时，Check Point 没有证据表明该漏洞正在被利用。
CVE-2026-93616 是管理服务器 Web 服务中的路径遍历漏洞。该服务未能正确限制请求可以访问的文件和文件夹。
攻击者可以利用此漏洞将脚本上传到服务器并运行。Check Point 在该漏洞的 CVE 记录中将其在 CVSS 评分中评为 9.8（满分 10）。
Check Point 的公告未提及 7 月攻击的目标或攻击者，也未说明攻击者在利用该漏洞后做了什么。
管理服务器版本和修复
Check Point 根据“Take”编号为每个版本的 Jumbo Hotfix 更新。其 LivePatch 通道用于推送紧急修复，使用一组单独的 Take 编号。
CVE 记录列出了以下受影响的版本：
R82.20 未安装 Jumbo Hotfix
R82.10 安装了 Jumbo Hotfix Take 44 或以下
R82 安装了 Jumbo Hotfix Take 126 或以下
R81.20 安装了 Jumbo Hotfix Take 166 或以下
R81.10 安装了 Jumbo Hotfix Take 190 或以下（支持结束）
R81、R80.40、R80.30、R80.20、R80.10 和 R80（均已结束支持）
Check Point 的公告列出了 R82.20 作为受影响版本，而没有“未安装 Jumbo Hotfix”条件。
在 9 月 16 日，Check Point 通过 LivePatch 修复了管理服务器中的另一个漏洞 CVE-2026-91843。根据法国 CERT Santé 对 Check Point 公告的总结，该更新是 LivePatch Take 28，或 R82.20 上的 Take 29。Check Point 表示，这些 LivePatch 更新并未修复 CVE-2026-93616。
CVE-2026-85103 是一个 VPN 证书漏洞，Check Point 于 9 月 9 日修复，影响了网关和管理服务器。在 R82.10、R82 和 R81.20 上，新漏洞的受影响列表比该漏洞的列表高出一个 Take。因此，仅更新到足够超出该 9 月漏洞范围的服务器仍然受到 CVE-2026-93616 的影响。
修复版本和 Check Point 关于缓解、猎杀和妥协指标的指导在支持文章 sk1000171 中。管理服务器的管理员应：
检查服务器的版本和 Jumbo Hotfix Take 是否符合上述列表。
安装 sk1000171 中列出的修复。
使用 sk1000171 中的猎杀指导和妥协指标查找攻击迹象。安装修复并不能显示服务器是否在之前被攻击。
Check Point 的公告仅将安全管理列为受影响，并未说明攻击者需要什么网络访问权限。《黑客新闻》已向 Check Point 询问其他受影响产品、修复版本和 7 月攻击的情况。
通过 VPN 漏洞针对 Spark 防火墙
CVE-2026-85102 涉及 Check Point 网关在建立 VPN 连接时检查证书的方式。它可能允许尚未登录的攻击者在网关上运行代码。自 9 月 9 日以来，修复已发布，并在支持文章 sk1000117 中提供。
受影响的产品包括安全网关和 Spark 防火墙，无论是集中管理还是本地管理，适用于 R81 和 R81.10（均已结束支持）、R81.10.x、R81.20、R82、R82.00.x 和 R82.10。荷兰国家网络安全中心 (NCSC) 表示，当这些产品使用站点到站点 VPN 或远程访问 VPN 时，该漏洞适用。
Check Point 表示，攻击尝试来自匿名基础设施，包括 VPN 服务和代理，并使用以下主题的证书：
证书主题：CN=vpn,OU=users,O=global
证书主题：CN=vpn-user,OU=users,O=global
证书主题：CN=vpnuser,OU=users,O=global
该列表并不完整，可能还有其他主题在使用。管理员应检查日志中是否有任何异常的基于证书的移动访问登录，而不仅仅是这些主题的登录。他们还应检查可疑的移动访问用户在登录后做了什么，这通常包括扫描内部端口和服务。
Check Point 表示，已安装 9 月 9 日修复的客户受到保护，但其公告并未说明是否有任何尝试成功。
对于尚未修补的网关，NCSC 列出了 Check Point 针对站点到站点 VPN 的解决方法：关闭隐含的 VPN 规则，仅允许来自特定对等 IP 地址的 UDP 端口 500 和 4500。该解决方法不适用于本地管理的 Spark 防火墙。来自 Check Point 的缓解步骤在 sk1000117 中提供。
觉得这篇文章有趣吗？请在 Google 新闻、Twitter 和 LinkedIn 上关注我们，以阅读更多我们发布的独家内容。