כששני צדדים פותחים חיבור VPN, כלומר חיבור מוצפן שמחבר עובד מהבית או סניף מרוחק אל הרשת של הארגון, הם מחליפים ביניהם תעודות דיגיטליות. תעודה כזאת היא קובץ שאמור להוכיח שהצד השני הוא באמת מי שהוא טוען שהוא. צ'ק פוינט גילתה ששני שלבים בטיפול בתעודה הזאת שבורים במוצרים שלה, ושניהם קיבלו ציון חומרה 9.8 מתוך 10.

מה קרה

החברה פרסמה את הפרטים ב-9 בספטמבר בהודעה לקהילת הלקוחות שלה, והתחילה להפיץ תיקונים באותו יום. הראשונה, CVE-2026-85102, היא כשל באימות האמון בתעודה בזמן המשא ומתן על חיבור ה-VPN, ולפי הרישום שלה תוקף לא מזוהה מהרשת עלול להריץ קוד על שער האבטחה. השנייה, CVE-2026-85103, היא גלישת חוצץ בזיכרון, מצב שבו נתון ארוך מדי נכתב אל מעבר לשטח שהוקצה לו ודורס מה שיושב אחריו, והיא מתרחשת בזמן שהמוצר מפרסר את מבנה התעודה. השנייה נוגעת גם לשרת הניהול, המסוף שממנו מוגדרים כל שערי האבטחה בארגון.

כמה דברים כאן דורשים זהירות. את שני המזהים ואת הציונים הקצתה צ'ק פוינט בעצמה, ו-NVD, מאגר החולשות האמריקאי, עדיין לא ניתח אותם. החברה אומרת שמצאה את שתיהן לבד, שאין לה שום סימן שמישהו ניצל אותן, ושהניצול אפשרי רק "בתנאים מסוימים" שאותם היא לא פירטה. עובד של החברה כתב בפורום שמכיוון שהבעיה היא בטיפול בתעודות, אפשר להגיע אליה תיאורטית גם בסביבה שבה ה-VPN עצמו כבוי, אם יש בה תעודות VPN.

הרשימה הרשמית מונה שלושה ענפים: R82.10 עם Jumbo Hotfix Take 43 ומטה, R82 עם Take 125 ומטה, ו-R81.20 עם Take 165 ומטה. המרכז הקנדי להגנת סייבר פרסם באותו ערב אזהרה עם רשימת מוצרים רחבה יותר, שכוללת גם את סדרת Spark לעסקים קטנים, אבל בלי אף מספר גרסה. בפורום הלקוחות כתבו שני מנהלי רשת שמריצים R81.10 שאין עבורם לא Jumbo Hotfix ולא Live Patch, ושהמיטיגציה שפורסמה מנוסחת כללי מדי מכדי לפעול לפיה. אחרים דיווחו שההפצה האוטומטית פשוט לא הגיעה אליהם.

למה זה חשוב לכם

צ'ק פוינט היא חברה ישראלית, והציוד שלה יושב בכניסה לרשת של חלק גדול מהארגונים בארץ, ממקומות עבודה גדולים ועד עסקים קטנים שקנו קופסת Spark. שער אבטחה הוא המכשיר שמחליט מה נכנס לרשת ומה נעצר בחוץ, ולכן מי שמשתלט עליו כבר נמצא בפנים. לקורא הביתי אין כאן מה להתקין. אם אתם מתחברים לעבודה דרך VPN וה-IT מודיע על ניתוק קצר בימים הקרובים, זו כנראה הסיבה.

מה עושים?

מנהלי רשת: בדקו את הענף ואת רמת ה-Jumbo Hotfix שלכם מול הרשימה שפרסמה צ'ק פוינט, והתקינו את ה-Hotfix העדכני לגרסה שברשותכם.

נשענים על Live Patch? אל תניחו שהוא כבר עשה את שלו. פתחו את יומן העדכונים ובדקו מה מותקן בפועל, אחרי שכמה לקוחות דיווחו שההפצה לא הגיעה אליהם.

מריצים ענף שלא מופיע ברשימה, כמו R81.10? פתחו קריאה לצ'ק פוינט ובקשו במפורש איזה מסלול חל עליכם, במקום להסתמך על ניסוח המיטיגציה הכללי.

עסק קטן עם קופסת Spark: פנו לספק שהתקין אותה ובקשו ממנו אישור שהעדכון הותקן ומתי.

אין עדיין שום דיווח על ניצול בשטח, וזה בדיוק הזמן שבו התיקון עולה הכי מעט.