ההתראה שפרסם מרכז הסייבר הלאומי של הולנד מנוסחת בלי יותר מדי ניואנסים: הסיכוי שמישהו ינצל את שתי החולשות בציוד ה-VPN של צ'ק פוינט גבוה, הנזק האפשרי גבוה, וניסיונות ניצול צפויים להתחיל בקרוב ובהיקף רחב. קוד ניצול פומבי עדיין לא פורסם. מי שטרם עדכן נמצא בחלון זמן שנסגר.

מה קרה

צ'ק פוינט פרסמה את שתי החולשות ב-9 בספטמבר והתחילה להפיץ תיקונים באותו יום, ואנחנו כתבנו עליהן למחרת. שתיהן יושבות בשלב שבו שני צדדים מוכיחים זה לזה מי הם לפני שנפתח חיבור VPN מוצפן: CVE-2026-85102 היא כשל באימות נתוני התעודה הדיגיטלית בזמן המשא ומתן על החיבור, ו-CVE-2026-85103 היא גלישת חוצץ בזיכרון בזמן שהמוצר מפרסר את מבנה התעודה. שתיהן מאפשרות לתוקף לא מזוהה מהרשת להריץ קוד על הציוד, ושתיהן קיבלו ציון חומרה 9.8 מתוך 10 מצ'ק פוינט עצמה.

ההתראה ההולנדית, מה-10 בספטמבר, מוסיפה הערכה ולא עובדה חדשה. אין דיווח על ניצול בפועל ואין קוד מוכן שמסתובב, אבל שם מעריכים שהפער הזה לא יחזיק הרבה זמן, ומזכירים שתוקף שמצליח משתלט על הציוד, קורא ומשנה מידע ומשבש את העבודה. מה שהתחדש בצד הטכני מעניין יותר: הרשימה הרשמית של הגרסאות המושפעות כוללת גם את R80 עד R80.40, R81 ו-R81.10, כלומר גרסאות שיצאו כבר מתמיכה. עבורן אין Hotfix בכלל, והדרך היחידה לצאת מהבעיה היא שדרוג.

מי שמריץ גרסה נתמכת מקבל את התיקון דרך LivePatch Take 24, או דרך Jumbo Hotfix Take 166 ל-R81.20, Take 126 ל-R82 ו-Take 44 ל-R82.10. בעלי קופסאות Spark, הציוד לעסקים קטנים, צריכים build 2325 ב-R82.00.10 או build 4968 ב-R81.10.17. גרסת R82.20 אינה מושפעת משתי החולשות.

למה זה חשוב לכם

צ'ק פוינט היא חברה ישראלית, והציוד שלה יושב בכניסה לרשת של הרבה מאוד ארגונים בארץ: מקומות עבודה גדולים, קליניקות, עיריות, ועסקים קטנים שקנו קופסת Spark פעם אחת וסגרו את הנושא. שער אבטחה שנפרץ הוא לא עוד מחשב שנדבק. זה הרכיב שרואה את כל התעבורה שנכנסת ויוצאת, וזאת גם הנקודה שממנה נוח להמשיך פנימה אל השרתים. ואם הארגון שלכם מריץ גרסה שיצאה מתמיכה, שדרוג שנדחה שנה או שתיים הפך עכשיו לדחוף.

מה עושים?

אחראים על ציוד כזה? אל תסתמכו על ההפצה האוטומטית. ה-LivePatch קיים רק ב-R81.20, R82 ו-R82.10, הוא לא תומך בכל תצורה, ובפורום הלקוחות של צ'ק פוינט דיווחו מנהלי רשת שהעדכון פשוט לא הגיע אליהם. בדקו בקונסולה איזה Take מותקן בפועל.

מריצים גרסה שיצאה מתמיכה? תכננו שדרוג, ועד אז צמצמו את החשיפה. ההמלצה ההולנדית למי שמשתמש ב-Site to Site VPN היא לשנות את כללי ה-VPN כך שיקבלו חיבורים רק מכתובות IP מוכרות.

בעלי עסק קטן עם קופסת Spark: היכנסו לממשק הניהול ובדקו את מספר ה-build, כי זה סוג הציוד שמותקן פעם אחת ואחר כך אף אחד לא נוגע בו במשך שנים.

עובדים מהבית לא צריכים לעשות כלום בעצמם, אבל כן כדאי לדעת: אם מישהו מתקשר בימים הקרובים ומציג את עצמו כאיש מחשוב שצריך שתתקינו "עדכון VPN" במחשב, לא כך עדכונים כאלה מגיעים.

אין עדיין קוד ניצול פומבי, וזה כל היתרון שיש כרגע למי שלא עדכן.