Критическая уязвимость в серверах управления безопасностью и журналов Check Point может позволить злоумышленнику без учетных данных выполнять код с правами root на этих серверах через сеть. Сервер управления безопасностью — это система, которая контролирует политики межсетевого экрана и доступ администраторов. Check Point выпустила исправление через свой канал обновлений LivePatch и заявляет, что у нее нет данных о том, что эта уязвимость была использована. Check Point сообщила The Hacker News, что уязвимый путь проходит только через настройку «Доверенные клиенты», которая контролирует, какие узлы могут подключаться к серверу управления через SmartConsole. Уязвимость, отслеживаемая как CVE-2026-91843 и оцененная Check Point в 9,8 из 10 по шкале CVSS, представляет собой переполнение буфера в процессе входа в систему, который обрабатывает запросы до аутентификации пользователя. Интернет-сканирующая компания Censys заявила, что переполнение вызывается запросом на вход, содержащим очень длинное имя пользователя. Check Point заявила в уведомлении в своем сообществе CheckMates 16 сентября 2026 года, что клиенты с включенными автоматическими обновлениями уже защищены, а всем остальным следует применить исправление LivePatch, описанное в консультативном документе sk1000155. Компания настоятельно призвала клиентов принять немедленные меры из-за серьезности уязвимости и ее потенциального воздействия. «На данный момент нет никаких признаков того, что эта уязвимость была использована в реальных условиях», — говорится в уведомлении. Агентство по кибербезопасности и защите инфраструктуры США (CISA) оценило эксплуатацию как «отсутствующую» в своей оценке, приложенной к записи CVE 17 сентября. Уязвимость не входила в каталог известных уязвимостей CISA на момент выпуска каталога 16 сентября, который The Hacker News проверил 17 сентября. Censys заявила, что публичных эксплойтов не существовало по состоянию на 16 сентября. Авив Абрамович, вице-президент по управлению продуктами сетевой безопасности в Check Point, сообщил The Hacker News, что компания не получала никаких сообщений об эксплуатации. Запись CVE Check Point перечисляет следующие ветви как затронутые, по Jumbo Hotfix Take, нумерованному уровню пакета обновлений, который собирает исправления для выпуска. Сервер в указанной ветви с указанным Take или более старой версией затронут. Запись не включает R82.20, но Абрамович сказал, что R82.20 также уязвима. Censys заявила в своем консультативном документе, что каждая сборка R82.20 затронута, и что ни один Jumbo Hotfix еще не защищает эту ветвь. Автономные развертывания, на которых управление и шлюз работают на одной системе, серверы журналов и многодоменные серверы также уязвимы, сказал Абрамович. Оповещение от NHS England Digital, ссылаясь на sk1000155, гласит, что размещенная служба Smart-1 Cloud не затронута, поскольку исправление уже применено. Запись CVE отмечает R81.10 и более старые ветви как устаревшие. У Check Point есть готовое исправление для этих устаревших версий, сказал Абрамович, и клиенты, которым оно требуется, должны обратиться в службу поддержки Check Point. «Автоматические обновления» означают настройку, описанную в sk175504, согласно руководству по обеспечению безопасности Check Point. Это флажок в SmartConsole, в разделе «Глобальные свойства» и «Контроль доступа к данным», помеченный как «Автоматически загружать и устанавливать контракты на программные компоненты, обновления безопасности и другие важные данные (настоятельно рекомендуется)», за которым следует установка политики контроля доступа. LivePatch — это канал, который Check Point использует для предоставления срочных исправлений безопасности системам, где эта опция включена. Доставка не всегда немедленная. Когда Check Point выпустила исправления для двух уязвимостей сертификатов VPN на прошлой неделе, несколько клиентов написали в сообществе, что автоматический пакет не достиг их систем в день объявления, и администратор сообщества Check Point ответил, что он, предположительно, развертывается поэтапно, а не всем сразу. Клиенты также обнаружили, что ссылки для скачивания в этих консультативных документах появлялись только после входа в Центр пользователей. Настройка «Доверенные клиенты» находится в SmartConsole в разделе «Управление и настройки», «Разрешения и администраторы», «Доверенные клиенты», согласно руководству по обеспечению безопасности, которое также гласит, что следует избегать прямого доступа к управлению из Интернета и требуется VPN. Уязвимый путь проходит «только через доверенных клиентов», сказал Абрамович, и Check Point рекомендует клиентам убедиться, что настройка не установлена на какой-либо IP-адрес, а на доверенные узлы. Censys заявила, что наблюдает 3836 узлов по всему миру, которые представляют собой стандартную идентификацию, которую Check Point присваивает своим серверам управления и журналов, метод, выбранный потому, что уровень сборки и исправления не виден в данных сканирования. «Эта цифра представляет собой общее присутствие ролей, а не подтвержденное количество уязвимых», — заявила компания. По подсчетам The Hacker News на основе записей CVE Check Point, CVE-2026-91843 является пятой критической уязвимостью с 22 июля, к которой злоумышленник мог получить доступ к серверу управления безопасностью без входа в систему. Первая, CVE-2026-16232, обход аутентификации SmartConsole, была использована в июле. Лотем Финкельштейн из Check Point тогда написал, что она затронула «горстку клиентов» в одной конфигурации, «когда управление было выставлено непосредственно в Интернет без ограничений IP». Первым шагом по смягчению последствий тогда было то, что рекомендуется сейчас: ограничить доверенных клиентов доверенными адресами. CISA добавила CVE-2026-16232 в свой каталог известных уязвимостей в тот же день. Вторая уязвимость обхода управления, раскрытая в тот день, CVE-2026-62144, не была сообщена как использованная. Затем последовали еще две: CVE-2026-18574, обход аутентификации, который мог позволить выполнение команд на сервере управления, 3 августа, и CVE-2026-85103, переполнение кучи при декодировании сертификата VPN, которое также достигает Quantum Security Management, 9 сентября. Check Point заявила, что обнаружила обе уязвимости внутри компании и не имела никаких признаков эксплуатации. Кто обнаружил CVE-2026-91843, не разглашается, и Check Point не ответила на этот вопрос в своем ответе. *Обновление: эта статья была обновлена 18 сентября 2026 года с ответами от Check Point, подтверждающими, что R82.20, автономные развертывания, серверы журналов и многодоменные серверы уязвимы, что уязвимый путь проходит только через настройку «Доверенные клиенты», и что исправление для устаревших версий доступно через службу поддержки Check Point.
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Swati Khandelwal
