Check Point yönetim sunucusunda istismar edilen sıfırıncı gün ve VPN açığına saldırı dalgası

Check Point, 22 Eylül'de iki ayrı açığın sahada istismar edildiğini duyuran yeni bir "eylem gerekli" bülteni yayımladı. Bültenin ana konusu, Security Management tarafında ön kimlik doğrulama gerektirmeyen yeni bir açık: CVE-2026-93616. Kanada Siber Güvenlik Merkezi'ne göre CISA her iki açığı da aynı gün KEV kataloğuna ekledi.

CVE-2026-93616: yönetim web servisinde yol geçişi

Açık, yönetim web servisindeki bir yol geçişi (path traversal) sorunu ve keyfi konumdaki betiklerin çalıştırılmasına, Java sınıflarının yüklenmesine yol açıyor. CVSS puanı 9.8. Check Point'in zaman çizelgesine göre bu açığı kullanan hedefli saldırılar 23 Temmuz'da gözlemlendi; yani açık iki aya yakın süre sıfırıncı gün olarak kullanıldı. Üretici saldırıları "sınırlı ve noktasal" olarak tanımlıyor.

Reklam Sponsorlu içerik alanıÜrün duyurularınızı ve etkinliklerinizi doğru kitleye ulaştırın.Haber içi · Detaylar ›

Etkilenen sürümler arasında R82.20, Jumbo Hotfix Take 44 ve altı R82.10, Take 126 ve altı R82, Take 166 ve altı R81.20 ile destek dışı eski sürümler bulunuyor. Düzeltme ve av rehberi sk1000171'de. Check Point özellikle, LivePatch Take 28/29'un bu açığı kapatmadığını vurguluyor.

CVE-2026-85102'ye saldırı dalgası

Bültende ayrıca 9 Eylül'de yamalanan VPN sertifika doğrulama açığı CVE-2026-85102 için durum güncellendi. Check Point'e göre 12 Eylül'den itibaren özellikle Spark müşterilerine yönelik bir istismar girişimi dalgası başladı. Girişimler VPN servisleri ve proxy'ler gibi anonimleştirme altyapılarından geldi ve belirli konu (subject) alanlarına sahip sertifikalar kullanıldı. Üretici paylaştığı listenin eksiksiz olmadığını not ediyor.

Ne yapılmalı?

• Yönetim sunucularına sk1000171'deki düzeltmeyi uygulayın; LivePatch Take 28/29'a güvenmeyin.
• Gateway ve Spark cihazlarında sk1000117 düzeltmesinin kurulu olduğunu doğrulayın.
• Mobile Access kayıtlarında sertifika tabanlı olağandışı girişleri yalnızca paylaşılan konu alanlarıyla sınırlı kalmadan arayın.
• Şüpheli Mobile Access kullanıcılarından kaynaklanan iç ağ port ve servis taramalarını inceleyin.
• Yönetim arayüzlerini internetten erişilemez hale getirin.