Kontrollpunkt korrigiert CVE 2026 93616 Pfad-Traversal in Management Server nach 23 Jul-Angriffen

Am 23. Juli wurden gezielte Angriffe erkannt, die im Webdienst des Security Management Servers von Check Point eine Schwachstelle bis dahin unbekannt nutzten. Der Ausfall, aufgezeichnet als CVE-2026-93616, ermöglicht es einem Angreifer, den Webservice des Servers zu erreichen, um Skripte ohne Authentifizierung hochzuladen und auszuführen. Check Point veröffentlichte am 22. September eine Korrektur und veröffentlichte Leitlinien für die Abschwächung und die Verpflichtungserwartung auf seine technische Unterstützung.

Konfirmierte Fakten: Check Point hat die Existenz einer Pfad-Pfad-Verwundbarkeit im Web-Service des Management-Servers erkannt, die in den betroffenen Versionen Dateien und Ordner, die durch Remote-Anfragen zugänglich sind, nicht korrekt begrenzt. Dieser Fehler kann verwendet werden, um Skripte auf dem Server zu platzieren und auszuführen. Das Unternehmen hat eine CVSS-Score von 9.8 vergeben, ein Hotfix veröffentlicht und auf seinem Support-Portal ( Unterstützung.checkpoint.com) Darüber hinaus bestätigte Check Point Versuche, ab 12. September gegen eine andere VPN-Verwundbarkeit auszunutzen (CVE-2026-85102), die am 9. September geparkt worden war; diese Versuche zielten auf Spark- und Gateway-Geräte, die die Korrektur nicht erhalten hatten.

Was bleibt unsicher und erfordert zusätzliche Bestätigung: Check Point hat nicht öffentlich die spezifischen Ziele der 23. Juli-Angriffe identifiziert, die die Angreifer waren und welche konkreten Aktionen sie nach der Ausbeutung von CVE-2026-93616 ergriffen. Es hat auch nicht gesagt, ob Versuche gegen VPN-Verwundbarkeit (CVE-2026-85102) in jeder Umgebung erfolgreich waren. Das Unternehmen hat darauf hingewiesen, dass die Versuche aus der Anonimisierungsinfrastruktur (VPN und Proxies) kamen und dass Zertifikate bei bestimmten Themen beobachtet wurden, aber die Liste der Zertifikate ist nicht unbedingt erschöpfend.

Technisch gesehen ist die neue Sicherheitslücke ein Pfad-Traversal in der Webkomponente Management Server: Wenn der Dienst die angeforderten Dateirouten nicht richtig einschränkt, kann eine manipulierte Anfrage auf Standorte außerhalb des geplanten Baumes zugreifen, bösartige Dateien hochladen und dann ausführen. Diese Kette - Zugriff auf den Web-Service ohne Authentifizierung, Skript-Upload und Ausführung - verwandelt Verwundbarkeit in einen Remote-Code Ausführung Vektor mit einem potenziell kritischen Einfluss auf die Vertraulichkeit und Integrität der Firewall-Richtlinienverwaltung.

Wer ist es? Die betroffenen Versionen und Gebäude werden von Check Point mit Granularität durch "R" Release und von Jumbo Hotfix Nummer "Take" aufgeführt. In der Praxis liegt das Risiko bei Managern, die Security Management Server verwalten - zentral, die Richtlinien kontrollieren und Einstellungen an Gateways verteilen - und bei Spark- und Gateway-Kunden, die, wenn nicht im abgekürzten Gebäude, auch Gegenstand früherer oder paralleler Betriebsversuche sein können. Da der Management-Server Sicherheitsregeln und Objekte steuert, kann sein Engagement es einem Angreifer ermöglichen, Regeln zu ändern, Ausstiegsrouten zu erstellen, Traffic zu verbergen oder Persistenz in der Netzwerkinfrastruktur einzusetzen.

Reale Folgen und Risikoszenarien: Ein engagierter Management-Server kann Seitenbewegungen und Beharrlichkeit im Unternehmensnetzwerk, Änderungen der Firewall-Politiken (z.B. Öffnen von Ports oder Erstellen von Regeln, die unbefugten Verkehr erlauben), Abhör oder Umleitung des Verkehrs und die Bereitstellung von Backdoors in verwalteten Gateways erleichtern. Darüber hinaus macht die Schwierigkeit bei der Erkennung früherer Aktivität die einfache Installation des Patches nicht beweist, dass es keinen Eingriff gab.

Spezifische und unmittelbare Maßnahmen von Sicherheitsmanagern und Beamten- überprüfbare und priorisierte Maßnahmen:

1) Überprüfen Sie die Version und das Jumbo Hotfix nehmen vom Security Management Server und vergleichen Sie sie mit der Liste der betroffenen Gebäude von Check Point. Wenn Sie die Informationen nicht haben, sehen Sie die Management-Schnittstelle und die Dokumentation Ihrer Veröffentlichung. Installieren Sie das im entsprechenden Support-Artikel angezeigte Hotfix oder LivePatch (Referenz im Check Point-Portal).

2) Folgen Sie den Hunting-Leitfaden und Verpflichtungsindikatoren, die Check Point in seinem Support-Artikel veröffentlicht (siehe Ihr Support-Portal für sk1000171). Dies beinhaltet die Überprüfung von Web-Service-Logs, auf der Suche nach Dateien und Skripten vor kurzem in Web-Verzeichnungen hochgeladen, Überprüfung von Cron-Jobs oder programmierten Aufgaben, und Überprüfung von abnormalen Netzwerk-Prozessen und Verbindungen.

3) Nehmen Sie die Möglichkeit des Eingriffs an, wenn der Server in einer verletzlichen Version zwischen dem Fenster vom 23. Juli und der Patch-Publikation war. Aktivieren Sie in solchen Fällen Sofortmaßnahmen: Setzen Sie den Managementserver in den Wartungsmodus oder isolieren Sie ihn aus dem Netzwerk, sammeln und bewahren Sie Protokoll und Beweise (vor der Anwendung von Patches, die Artefakte überschreiben können), und, falls erforderlich, mit professioneller forensischer Analyse, um den Umfang und die Anwesenheit von Back-Türen zu bestätigen.

4) Überprüfen Sie die Integrität der Konfigurations- und Policy-Regeln: vergleichen Sie die Sicherung früherer Konfigurationen mit dem aktuellen Zustand, überprüfen Sie die jüngsten Änderungen an Regeln, die nicht gerechtfertigt sind und bestätigen, dass es keine doppelten oder geänderten Konten, Objekte oder Richtlinien ohne Autorisierung gibt.

5) Für VPN-Verwundbarkeit (CVE-2026-85102): bestätigen Sie, dass die Gateways und Spark-Geräte das am 9. September veröffentlichte Patch angewendet haben (relevanter Supportartikel und Minderung in sk1000117). Review Mobile Zugang und Bescheinigungen für die frühe Sitzung; Kontrollpunkt beobachtete Versuche mit Zertifikaten mit CN = vpn, CN = vpn-user oder CN = vpnuser Typ Themen, aber die Liste darf nicht vollständig sein. Suchen Sie nach einer frühen Sitzung mit Out-of-the-Box-Zertifikaten und jeder nachfolgenden Aktivität wie interne Scans.

6) Wenn Sie Patches nicht sofort anwenden können, implementieren Sie die von Behörden wie dem niederländischen NCSC empfohlenen Workarounds: z.B. für Site-to-Site VPNs begrenzen den eingehenden Verkehr von UDP 500 / 4500 nur auf PIs bekannter Paare und deaktivieren Sie ggf. implizite Regeln von VPN. Siehe NCSC-Leitfaden für Betriebsanleitungen und Anwendung temporärer Netzzugangskontrollen ( www.nc.nl)

7) Verdrehen Sie sensible, zertifizierte und wichtige Anmeldeinformationen, die Management Server verwendet haben kann, sobald die Instanz gereinigt oder wieder aufgebaut wurde, und überprüfen Sie den Zugriff auf Managementkonten, um unbefugte Kreationen oder Privilegienerhöhungen zu erkennen.

Mittelfristige Empfehlungen und bewährte Praktiken: Halten Sie den Patch-Zyklus auf dem neuesten Stand mit LivePatch / Nehmen Sie Aufmerksamkeit (die Unterschiede zwischen Jumbo Hotfix und LivePatch können einige teilweise geschützte Gebäude verlassen), segregaten Sie die Produktionsnetzwerk-Management-Konsole, wenden Sie Zugriffskontrollen (Source-Kontrolllisten) für den Zugriff auf Management-Web-Service und ermöglichen die Überwachung von Integrität und Frühwarnungen auf kritische politische Änderungen.

Zusätzliche Ressourcen und Referenzen: Siehe das Unterstützungsportal Check Point für offizielle Notizen und korrigierte Build-ups sowie Antwort-Guide, die von nationalen Cyber-Sicherheitsteams wie dem niederländischen NCSC und den sektoralen Antwort-Teams veröffentlicht wurden (z.B. hat CERT Santé in Frankreich Zusammenfassungen veröffentlicht, die die Checkpoint-Kommunikation verstärken). Nützliche Links Check Point Support ( https: / / support.checkpoint.com) und die Niederlande ( http://www.ncsc.nl), zusätzlich zum Standort des französischen Health CERT ( http://www.cert.sante.gouv.fr)

Endgültige Unterscheidung: Patches und Minderungen sind unverzichtbar, aber nicht ausreichend, um eine "reine" Umgebung zu erklären. Da Check Point den Nachweis des Ausmaßes der Juliangriffe nicht öffentlich gemacht hat, ist die verantwortliche Maßnahme für verletzliche Server, diese so zu behandeln, wie sie möglicherweise begangen werden, bis ein Erkennungsprozess und gegebenenfalls eine Forensik etwas anderes beweist.