أكدت Check Point أن مهاجمين يستغلون بنشاط ثغرة تنفيذ أوامر عن بُعد قبل المصادقة في وظيفة معالجة شهادات VPN ضمن منتج Security Gateway. وتحمل الثغرة المعرف CVE-2026-85102، ما يجعل بوابات VPN المكشوفة نقطة دخول محتملة قبل أن يثبت المستخدم هويته.
يحذر إشعار الشركة أيضاً من استغلال ثغرة ثانية لتجاوز المسارات، تحمل المعرف CVE-2026-93616، وتؤثر في خدمة Management web service. وقد تتيح هذه الثغرة تنفيذ البرامج النصية وتحميل فئات Java، وتقول Check Point إنها استُغلت كثغرة يوم صفر منذ 23 يوليو 2026.
ما الذي رصدته Check Point؟
أشار المركز الوطني الهولندي للأمن السيبراني في 10 سبتمبر إلى مشكلة Security Gateway، وحث المستخدمين على تثبيت التحديثات المتاحة تحسباً لاستغلال وشيك. وتقول Check Point إن موجة محاولات الاستغلال بدأت في 12 سبتمبر واستهدفت عملاء Spark، مع استخدام خدمات VPN والوكلاء لإخفاء مصدر الهجمات.
رصدت الشركة شهادات تحمل الموضوعات التالية: CN=vpn,OU=users,O=global، وCN=vpn-user,OU=users,O=global، وCN=vpnuser,OU=users,O=global. لكنها أوضحت أن هذه القيم تعكس الرصد الحالي فقط، وقد يستخدم المهاجمون موضوعات أخرى.
أدرجت CISA الثغرتين في كتالوج Known Exploited Vulnerabilities، وطلبت من الوكالات الفدرالية الأمريكية تطبيق الإصلاحات أو إجراءات التخفيف بحلول 25 سبتمبر 2026.
ما الذي ينبغي على مسؤولي الأنظمة فعله؟
بالنسبة إلى CVE-2026-85102، توصي Check Point بتثبيت LivePatch Take 26 على البوابات المدعومة التي تعمل بإصدارات R81.20 أو R82 أو R82.10، أو تثبيت Jumbo Hotfix بالإصدارات R81.20 Take 166 أو R82 Take 126 أو R82.10 Take 44 أو R81.10 Take 190، أو أي إصدار أحدث. كما ينبغي تحديث جدران Spark إلى R82.00.10 Build 2325 أو R81.10.17 Build 4968، أو أحدث.
يمكن التحقق من تفعيل LivePatch عبر تشغيل الأمر cpinfo -y CPupdates على Security Gateway في وضع expert. وتنبه الشركة إلى أن بعض العملاء الذين ثبتوا حزمة LivePatch غير المتصلة بالإنترنت سابقاً يحتاجون إلى Take 26 للحصول على التغطية الكاملة.
خيارات التخفيف عند تعذر التحديث
إذا تعذر تثبيت التحديث، توصي Check Point بتعطيل قواعد VPN الضمنية وإنشاء قواعد صريحة تقيد Site-to-Site VPN على المنفذين UDP/500 وUDP/4500 بعناوين IP محددة للأطراف النظيرة. أما Remote Access VPN، فينبغي قصر الخدمات المسموح بها على ما يلزم عبر UDP/500 وUDP/4500 وTCP/443 وTCP/80 عند الحاجة، مع تقييد نطاقات عناوين العملاء المصدر كلما أمكن.
توضح Check Point أن هذه الإجراءات لا تنطبق على جدران Spark المُدارة محلياً، كما تحيل في ما يخص CVE-2026-93616 إلى مقال دعم يتضمن إرشادات التخفيف والبحث عن مؤشرات الاختراق.
لماذا يهم هذا الخبر؟
التحول من توقع الاستغلال إلى تأكيده يرفع أولوية المعالجة عملياً، خصوصاً لأن إحدى الثغرتين لا تتطلب مصادقة والأخرى استُغلت قبل الإفصاح عنها. لكن المصدر لا يحدد عدد الضحايا أو طبيعة البيانات التي استُهدفت؛ لذلك تظل الأولوية العملية هي حصر البوابات المعرضة، التحقق من مستوى التصحيح، ومراجعة سجلات VPN وخدمة الإدارة بحثاً عن نشاط غير معتاد.
كيف أعددنا هذا الخبر؟
اعتمد الخبر على المصدر الأصلي الموضح أعلاه. قد نستخدم أدوات آلية للمساعدة في الاستخراج والتصنيف والصياغة،
لكن النشر يخضع لقواعد تمنع المحتوى المكرر والقصير أو الروتيني منخفض القيمة.
اقرأ سياستنا التحريرية.