Wprowadzenie do problemu
Check Point ostrzegł przed krytyczną podatnością typu zero-day w komponencie Security Management Server, czyli centralnym systemie odpowiedzialnym za zarządzanie politykami bezpieczeństwa oraz administrację bramami sieciowymi. To szczególnie wrażliwy element infrastruktury, ponieważ jego kompromitacja może przełożyć się nie tylko na pojedynczy serwer, ale na całe środowisko bezpieczeństwa organizacji.
Opisana luka pozwala na zdalne uruchamianie skryptów bez uwierzytelnienia, jeżeli atakujący ma dostęp do usługi webowej serwera zarządzającego. W praktyce oznacza to możliwość przejęcia kontroli nad systemem o bardzo wysokich uprawnieniach.
W skrócie
- We wrześniu 2026 roku ujawniono podatność CVE-2026-93616 o ocenie 9.8 w skali CVSS.
- Według producenta luka była wykorzystywana w ukierunkowanych atakach już 23 lipca 2026 roku.
- Problem dotyczy błędu path traversal w usłudze webowej Security Management Server.
- Eksploatacja może prowadzić do przesłania i wykonania skryptów bez logowania.
- Check Point opublikował poprawki oraz zalecenia dotyczące wykrywania kompromitacji.
- Równolegle firma ostrzegła przed próbami wykorzystania luki VPN oznaczonej jako CVE-2026-85102.
Kontekst i historia
Znaczenie incydentu wynika z roli, jaką Security Management Server pełni w ekosystemie Check Point. To platforma centralnie zarządzająca politykami i konfiguracją zabezpieczeń dla wielu urządzeń, dlatego jej naruszenie może dać napastnikowi szeroki wgląd w środowisko oraz możliwość wpływania na reguły ochronne.
Producent poinformował, iż CVE-2026-93616 była wykorzystywana w ograniczonej liczbie ukierunkowanych ataków. Choć nie ujawniono szczegółów dotyczących ofiar ani sprawców, sam fakt aktywnej eksploatacji przed publikacją poprawek znacząco podnosi wagę zagrożenia. Dodatkowo sytuację komplikuje to, iż wcześniejsze aktualizacje dotyczące innych błędów w tej klasie produktów nie usuwały tej konkretnej luki.
Analiza techniczna
CVE-2026-93616 to podatność typu path traversal w usłudze webowej Security Management Server. Jej źródłem jest niewystarczające ograniczenie dostępu do ścieżek plików i katalogów obsługiwanych przez interfejs webowy. W rezultacie atakujący może zapisać skrypt w kontrolowanej lokalizacji, a następnie doprowadzić do jego wykonania bez konieczności wcześniejszego uwierzytelnienia.
Z perspektywy technicznej jest to scenariusz wyjątkowo groźny, ponieważ serwer zarządzający działa w kontekście administracyjnym i przetwarza dane związane z konfiguracją zabezpieczeń. Skuteczne wykonanie poleceń na takim systemie może umożliwić dostęp do polityk bezpieczeństwa, obiektów sieciowych, danych administracyjnych, a także wykorzystanie serwera jako punktu wyjścia do dalszej ekspansji w sieci.
Lista podatnych wersji obejmuje zarówno wspierane, jak i niewspierane wydania platformy, w tym między innymi R82.20, R82.10, R82, R81.20 oraz starsze gałęzie R81.10 i wcześniejsze. Istotne znaczenie ma również poziom zainstalowanych pakietów Jumbo Hotfix, ponieważ podatność w części przypadków zależy od konkretnego numeru aktualizacji. Producent zaznaczył też, iż wcześniejsze poprawki LivePatch usuwające inne błędy nie eliminują CVE-2026-93616.
Równolegle ujawniono aktywność związaną z CVE-2026-85102, czyli podatnością dotyczącą walidacji certyfikatów podczas zestawiania połączeń VPN. Ten błąd może prowadzić do nieuwierzytelnionego wykonania kodu na bramie i był obserwowany między innymi w środowiskach korzystających z linii Spark.
Konsekwencje i ryzyko
Ryzyko związane z CVE-2026-93616 należy uznać za krytyczne. Security Management Server stanowi centralny punkt kontroli, dlatego jego przejęcie może mieć wpływ na wiele warstw działania organizacji.
- Przejęcie dostępu administracyjnego do systemu zarządzania.
- Manipulacja politykami bezpieczeństwa i regułami zapór.
- Pozyskanie informacji o topologii sieci i konfiguracji środowiska.
- Wykorzystanie serwera jako zaufanego punktu do dalszego ruchu wewnątrz organizacji.
- Ukrywanie śladów aktywności poprzez modyfikację logowania i monitoringu.
Dodatkowym problemem jest ukierunkowany charakter ataków. Tego rodzaju operacje zwykle koncentrują się na organizacjach o wysokiej wartości, takich jak podmioty infrastruktury krytycznej, administracja publiczna, operatorzy telekomunikacyjni czy duże przedsiębiorstwa. choćby pojedynczy skuteczny incydent może więc wywołać bardzo szerokie skutki operacyjne i bezpieczeństwa.
Rekomendacje
Administratorzy środowisk Check Point powinni potraktować ten problem priorytetowo i podjąć działania natychmiast, nie ograniczając się wyłącznie do samej instalacji poprawki.
- Zweryfikować wersję Security Management Server oraz poziom Jumbo Hotfix na wszystkich instancjach.
- Niezwłocznie wdrożyć poprawki wskazane przez producenta.
- Przeprowadzić analizę logów i hunting pod kątem wskaźników kompromitacji.
- Sprawdzić nietypowe operacje na plikach, skryptach i poleceniach systemowych.
- Ograniczyć ekspozycję interfejsów administracyjnych wyłącznie do zaufanych segmentów.
- Przeanalizować logi połączeń VPN i certyfikatów w kontekście CVE-2026-85102.
- Zaplanować migrację starszych, niewspieranych wersji do aktualnie wspieranych gałęzi.
W praktyce najważniejsze jest założenie, iż jeżeli system był wystawiony i niezałatany, to mógł zostać naruszony jeszcze przed wdrożeniem remediacji. Z tego powodu działania naprawcze powinny obejmować zarówno aktualizację, jak i pełną ocenę potencjalnej kompromitacji.
Podsumowanie
Ujawnienie CVE-2026-93616 pokazuje, iż choćby systemy służące do zarządzania bezpieczeństwem same mogą stać się celem ataków o najwyższym priorytecie. Luka typu path traversal umożliwiająca wykonanie skryptów bez uwierzytelnienia stanowi poważne zagrożenie dla organizacji korzystających z rozwiązań Check Point.
Najważniejsze działania po stronie obrońców to szybkie łatanie, weryfikacja śladów kompromitacji oraz ograniczenie ekspozycji systemów administracyjnych. Dodatkowe ostrzeżenie dotyczące aktywności wokół podatności VPN wskazuje, iż napastnicy równolegle analizują zarówno warstwę zarządzania, jak i urządzenia brzegowe.