في عالم الأمان السيبراني، تعتبر الثغرات الأمنية تهديدًا خطيرًا. مؤخرًا، كشفت شركة Check Point عن ثغرتين حرجتين في شهادات VPN، مما يتيح للمهاجمين تنفيذ التعليمات البرمجية عن بُعد بدون مصادقة. في هذا المقال، سنستعرض تفاصيل هذه الثغرات وطرق الحماية منها.
كشف النقاب عن ثغرتين في شهادات VPN من Check Point برتبة 9.8 تتيح تنفيذ التعليمات البرمجية عن بُعد بدون مصادقة
قامت شركة Check Point بإصلاح ثغرتين حرجتين في الطريقة التي تتعامل بها منتجات جدار الحماية والإدارة مع شهادات VPN. تقول الشركة إن كلاهما قد يسمح لمهاجم عن بُعد غير مصدق بتشغيل التعليمات البرمجية، ولكن فقط “تحت ظروف معينة” لم يتم وصفها.
تؤثر إحدى الثغرات على بوابات الأمان من Check Point، وهي أجهزة جدار الحماية الخاصة بها. بينما تؤثر الأخرى على تلك البوابات وخادم إدارة الأمان، وهو وحدة التحكم المستخدمة لتكوينها.
كشفت Check Point عن الثغرات في 9 سبتمبر في إشعار لمجتمع عملائها، وبدأت في تقديم الإصلاحات في نفس اليوم. تقول الشركة إنها اكتشفت كلا الثغرتين بنفسها وليس لديها أي مؤشر على أن أيًا منهما قد تم استخدامه في هجوم.
تتعلق الثغرة الأولى، CVE-2026-85102، بفشل في التحقق بشكل صحيح من ثقة الشهادة أثناء التفاوض على VPN. تسجل CVE الخاصة بها أن مهاجمًا عن بُعد غير مصدق قد يكون قادرًا على تشغيل التعليمات البرمجية على بوابة الأمان.
أما الثانية، CVE-2026-85103، فهي تجاوز في سعة الذاكرة يحدث أثناء قيام المنتج بفك تشفير بنية ASN.1 لشهادة VPN. تسجل CVE الخاصة بها أن مهاجمًا عن بُعد غير مصدق قد يكون قادرًا على تشغيل التعليمات البرمجية على أنظمة إدارة الأمان Quantum وبوابات الأمان Quantum.
تحمل كلا السجلين درجة CVSS تبلغ 9.8. قامت Check Point بتعيين المعرفات والدرجات بنفسها.
تقدم السجلين نفس قائمة المنتجات المتأثرة:
- R82.10 مع Jumbo Hotfix Take 43 أو أقل
- R82 مع Jumbo Hotfix Take 125 أو أقل
- R81.20 مع Jumbo Hotfix Take 165 أو أقل
تغطي هذه الإصدارات التي تم تحديدها كمتأثرة، وليست الإصدارات التي تحتوي على الإصلاح. تشمل القائمة ثلاثة فروع من Quantum ولا تقدم أي معلومات إصدار لأي شيء آخر.
تضمن إشعار من المركز الكندي للأمن السيبراني، الذي نُشر في نفس المساء، مجموعة أوسع من المنتجات ولكن دون أي إصدارات على الإطلاق. تدرج بوابة الأمان، وخادم إدارة الأمان، وجدار الحماية Spark، وهو خط Check Point للأعمال الصغيرة.
يظهر Spark مرتين، مرة للتطبيقات التي تستخدم VPN من موقع إلى موقع أو الوصول عن بُعد ومرة بدون هذا الشرط.
في نفس سلسلة المناقشات، تم سؤال أحد موظفي Check Point عما إذا كانت البوابات التي تم إيقاف تشغيل شفرة VPN متأثرة بـ CVE-2026-85103. أجاب الموظف أن المشكلة تتعلق بمعالجة الشهادات، لذا يمكن، من الناحية النظرية، أن يتم تشغيلها في بيئة بدون VPN ولكن مع وجود شهادات VPN.
قدمت Check Point للعملاء طريقتين للوصول إلى الإصلاح.
الأولى هي Check Point Live Patch. تقول الشركة إن العملاء الذين يستخدمونها محميون تلقائيًا مع بدء طرح الإصلاحات، الذي بدأ في 9 سبتمبر. قال أحد موظفي Check Point في السلسلة إنه يمكن تثبيتها فوق أي مستوى Jumbo Hotfix في R81.20 وR82.00 وR82.10، وذكرت فقط تلك الإصدارات الثلاثة.
الثانية هي Jumbo Hotfix. أخبرت Check Point العملاء بتثبيت أحدث واحدة لإصدارهم المنفذ بمجرد أن تصبح متاحة.
إذا لم تتمكن من التحديث بعد
قال عميلان في السلسلة إنهما يعملان على R81.10 ولن ينتقلا عنه لأسابيع. قال أحدهما إنه لا يوجد Jumbo Hotfix ولا Live Patch متاحة لهذا الفرع، مما يجعل التخفيف الخيار الوحيد.
وصف نفس العميل التخفيف في الإشعار بأنه إيقاف القواعد الضمنية لـ VPN، واعتبره غامضًا جدًا للعمل عليه، وسأل عن أي خطوط تكوين يجب التعليق عليها. وسأل الآخر كيف يمكن تطبيق التخفيف دون التأثير على المستخدمين عن بُعد. لم يكن هناك أي إجابة على أي من السؤالين في السلسلة.
أبلغ العديد من العملاء أيضًا أن الطرح التلقائي لم يصل إليهم. أفاد خمسة حسابات منفصلة بأن البوابات لا تزال على Take 18 أو Take 17 من حزمة التحديث الأمني العاجل في يوم الإعلان؛ نشر أحدهم سجل تحديث يظهر Take 18 مثبتًا في 1 سبتمبر ولا شيء منذ ذلك الحين.
أبلغ العديد من العملاء أن روابط التنزيل في الإشعارين لم تعمل معهم، ورد أحد موظفي Check Point أن الروابط قد تم التحقق منها وكانت تعمل. قال عميل بعد ذلك إن الروابط في الإشعار لا تزال تفشل في متصفحين، بينما عمل الرابط في مقال Live Patch.
في يونيو ويوليو، قامت Check Point بإصلاح ثغرات حرجة في هذه المنتجات التي قالت إنها كانت تُستغل بالفعل عندما أعلنت عنها. كانت ثغرة يونيو هي CVE-2026-50751، وهي تجاوز للمصادقة في VPN للوصول عن بُعد والتحقق من صحة الشهادات. أضافت وكالة الأمن السيبراني والبنية التحتية الأمريكية (CISA) هذا إلى كتالوج الثغرات المعروفة المستغلة في 8 يونيو.
أما ثغرة يوليو فهي CVE-2026-16232، وهي تجاوز للمصادقة في SmartConsole، والتي أضافتها CISA إلى نفس الكتالوج في يوم الكشف عنها. كانت واحدة من ثلاث ثغرات قامت Check Point بإصلاحها في ذلك الشهر، اثنتان منها أثرت على خادم إدارة الأمان، نفس المكون الذي تصل إليه CVE-2026-85103.
لم تنشر Check Point مؤشرات للاختراق لأي من الثغرات الجديدة. وعند سؤالها في السلسلة عما إذا كانت السجلات ستظهر محاولات لاستغلالها، قال أحد الموظفين إن الشركة لم تر أي دليل على الاستغلال الخارجي، وأن مؤشرات الاختراق تنطبق فقط على الاستغلالات التي توجد بالفعل.
لا ينص إشعار Check Point ولا أي سجل عام تم مراجعته لهذا المقال على أي من إصدارات Spark أو إدارة الأمان المتأثرة، أو أي من البنايات التي تحتوي على الإصلاح، أو ما هي الظروف المحددة التي تقول الشركة إن الثغرات تتطلبها. لا يتناول أي شيء في تلك المواد ما إذا كان تثبيت الإصلاح يزيل الوصول الذي قد يكون قد حصل عليه المهاجم بالفعل.
تشير إشعارات Check Point sk1000117 وsk1000118 إلى الوثائق التي تشير بها الشركة العملاء إلى المنتجات المتأثرة، وإرشادات التخفيف، وخطوات الإصلاح.
مع استمرار تطور التهديدات السيبرانية، من الضروري أن تبقى على اطلاع دائم بأحدث الثغرات والإصلاحات. تأكد من تحديث أنظمتك بانتظام واتبع إرشادات الأمان لحماية بياناتك.
