כשמכשיר או עובד פותח חיבור VPN אל שער של צ'ק פוינט, שני הצדדים מחליפים תעודות ובודקים זה את זה עוד לפני שנוצר ערוץ מוצפן. לפי הרשומה, הבדיקה שהשער עושה בשלב הזה אינה נכונה, ותוקף בלי שם משתמש ובלי סיסמה יכול להריץ קוד על השער עצמו. הציון הוא 9.8 מתוך 10, ומאז 22 בספטמבר 2026 החולשה מסומנת כמנוצלת בפועל.
מה החולשה?
תעודה דיגיטלית היא בעצם תעודת זהות שגורם אחר חתום עליה. הצד שמקבל אותה אמור לבדוק שרשרת שלמה: מי חתם עליה, האם החותם מוכר לו, האם התוקף שלה עדיין בתוקף, והאם היא בכלל שייכת למי שמציג אותה עכשיו. רק אם כל החוליות מחזיקות אפשר לסמוך על מה שכתוב בתוכה.
החולשה כאן היא שהבדיקה הזאת נעשית באופן לקוי דווקא בשלב המשא ומתן על חיבור ה-VPN. תעודה שהייתה אמורה להיפסל עוברת, והשער ממשיך לטפל בצד השני כאילו הוא לגיטימי. לכשל מהסוג הזה קוראים improper certificate validation.
הווקטור אומר למה זה מדורג כל כך גבוה. התקיפה מגיעה מהרשת, בלי הרשאות מוקדמות ובלי שמישהו בצד השני צריך לעשות דבר, וההשפעה על סודיות, על שלמות ועל זמינות מסומנת כגבוהה בשלושתן. הרשומה אומרת שהיעד הוא הרצת קוד על השער.
ויש כאן היפוך שקשה להתעלם ממנו. התעודה היא המנגנון שאמור להכריע מי נכנס, וכאן היא עצמה הופכת לדרך פנימה. הבדיקה שנועדה לסנן היא זאת שמעבדת את הקלט של התוקף.
מי מושפע?
לפי הרשומה, Check Point Quantum Security Gateway. זהו קו חומות האש של צ'ק פוינט, הציוד שיושב בגבול הרשת ומטפל בין היתר בחיבורי ה-VPN של מי שעובד מרחוק.
כאן צריך לומר מה אין ברשומה. אין בה רשימת גרסאות, אין טווחי בנייה ואין CPE, אלא הפניה להודעת האבטחה של צ'ק פוינט. זה קובע מה הדף הזה יכול לעשות: הוא מסביר את החולשה, והרשימה המדויקת של הגרסאות והתיקונים נמצאת אצל היצרן.
בישראל ההקשר הזה רלוונטי במיוחד. צ'ק פוינט היא חברה ישראלית והציוד שלה נפוץ מאוד בארגונים בארץ, מהקטנים ועד הגדולים. גם מי שאינו מנהל רשת בעצמו עשוי לעבור דרך שער כזה בכל פעם שהוא מתחבר לעבודה מהבית.
האם מנוצלת בפועל?
כן, והתשובה הזאת התהפכה. עד 22 בספטמבר 2026 לא הייתה ידיעה פומבית על ניצול, ובאותו יום הכניסה CISA, סוכנות הסייבר האמריקאית, את החולשה לקטלוג ה-KEV שלה, רשימת החולשות שידוע כי תוקפים משתמשים בהן בפועל. מועד הטיפול שנקבע שם הוא 25 בספטמבר 2026.
ההודעה שצ'ק פוינט פרסמה מתייחסת לניצול הפעיל של החולשה הזאת יחד עם חולשה נוספת בשרת הניהול של החברה, CVE-2026-93616, שנכנסה לקטלוג באותו יום.
מה שכתוב כאן קודם היה שאין ידיעה על ניצול. זה כבר לא נכון, ומי שדחה את העדכון על סמך זה כדאי שיזיז אותו קדימה בסדר העדיפויות.
מה עושים?
התחילו מהודעת האבטחה של צ'ק פוינט. זה המקום שבו מתפרסמות הגרסאות והתיקונים לחולשה הזאת, והרשומה הפומבית מפנה אליו במקום לנקוב בהן בעצמה. מאז פורסמה גם הודעה נוספת שעוסקת בניצול הפעיל, וכדאי לקרוא את שתיהן.
בררו אילו שערים אצלכם מסיימים חיבורי VPN. לא כל שער בארגון עושה את זה, והחולשה נוגעת לשלב המשא ומתן על החיבור, כך שהשערים שמקבלים חיבורי VPN מבחוץ הם אלה שצריכים לעבור ראשונים.
אם ההתקנה אינה יכולה לקרות מיד, צמצמו בינתיים מי יכול בכלל לפתוח משא ומתן כזה. הגבלה של כתובות המקור שמורשות להגיע ל-VPN אינה מתקנת את החולשה, והיא כן מקטינה את מספר הגורמים שיכולים לנסות.
ואחרי העדכון עברו על היומנים. מה שמחפשים הוא משא ומתן שנקטע באמצע, חיבורים מכתובות שאין להן סיבה להופיע, או תהליך בשער שקרס בלי הסבר.