שתי פגיעויות קריטיות בטיפול Check Point בתעודות VPN מאפשרות הרצת קוד מרחוק

חברת Check Point פרסמה עדכון חירום לשתי פגיעויות בציון CVSS 9.8 בדרך שבה גייטוויי האבטחה ושרת הניהול שלה מטפלים בתעודות VPN. שתיהן מאפשרות לתוקף מרוחק וללא אימות להריץ קוד על המכשיר, ולכן מדובר בעדכון שדורש טיפול מיידי בכל ארגון שמריץ את המוצרים המושפעים.

מה קרה

CVE-2026-85102 נובעת מכשל באימות אמינות התעודה בשלב המשא ומתן של חיבור ה-VPN, כך שתוקף יכול להציג תעודה שלא הייתה אמורה להיחשב תקינה. CVE-2026-85103 היא גלישת חוצץ בערימה (heap-based buffer overflow) בשלב פענוח מבנה ה-ASN.1 של אותן תעודות. שני הכשלים יושבים באותו נתיב עיבוד תעודות, ושניהם מאפשרים גישה ללא אימות מראש — בדיוק השילוב שהופך פגיעות מ"תרגיל תיאורטי" לכזו שכדאי לטפל בה באותו יום.

לפי Check Point, שתי הפגיעויות אותרו במחקר פנימי של החברה ולא דווחו על ידי גורם חיצוני, וטרם נצפה ניצול בשטח. עם זאת, מדובר בפגם בתשתית ה-VPN עצמה — כלומר בדיוק ברכיב שאמור להגן על הגישה המרוחקת לרשת הארגונית — כך שהחלון בין הפרסום הפומבי לבין ניסיונות ניצול בפועל עלול להיות קצר.

נקודות לשים לב

• ודא שה-Live Patch Take 24 אכן התקין על כל הגייטוויים ושרתי הניהול — ההתפרסות אוטומטית ב-R81.20, R82.00 ו-R82.10, אך כדאי לאמת ידנית ולא להסתמך על כך שהיא רצה בזמן.
• בסביבות שלא מריצות Live Patch, התקן את גרסת Jumbo Hotfix העדכנית לפי הגרסה שלך — מעל Take 43 ב-R82.10, מעל Take 125 ב-R82, ומעל Take 165 ב-R81.20.
• Check Point ציינה השבתת "implied rules" עבור VPN כמענה חלקי למי שלא יכול לעדכן מיד — אך המלצה זו נמסרה בלי פירוט תצורה מדויק, ולכן עדיף לראות בה מענה זמני בלבד ולא תחליף לעדכון.
• אם אתה מנהל גם Spark Firewall בסניפים מרוחקים, אל תשכח אותם ברשימת העדכון — הם מושפעים לצד הגייטוויים המרכזיים.
• בדוק ביומני הרישום (logs) אירועי ניתוק או כשל בלתי מוסברים בתהליך משא ומתן VPN בתקופה שלפני העדכון, כסימן אפשרי (לא ודאי) לניסיון ניצול.

מקורות: The Hacker News · Kudelski Security