תוקפים מנצלים פרצה ב-Check Point SmartConsole ומקבלים הרשאות מנהל מלאות
Check Point אישרה שפרצת עקיפת אימות בשרת הניהול שלה, CVE-2026-16232, כבר מנוצלת. תוקף בלי סיסמה מקבל הרשאות מנהל ויכול לשנות את מדיניות חומת האש. יצא תיקון, ולגרסאות ישנות אין.
TL;DR בקצרה
- ב-22 ביולי 2026 Check Point אישרה ניצול של CVE-2026-16232, עקיפת אימות בכניסה דרך SmartConsole לשרתי הניהול שלה.
- תוקף ללא הזדהות מקבל אסימון כניסה ונכנס כמנהל עם הרשאות מלאות, אם שרת הניהול נגיש מהאינטרנט ו-Trusted Clients לא הוגבל.
- התיקון הוא Jumbo Hotfix לגרסאות R82.10, R82 ו-R81.20. לגרסאות R81.10, R81 ולישנות מהן לא פורסם תיקון.
- CISA הוסיפה את החולשה לקטלוג החולשות המנוצלות ב-22 ביולי, עם מועד תיקון עד ה-25 ביולי לסוכנויות פדרליות.
ב-22 ביולי 2026 אישרה Check Point שתוקפים מנצלים בפועל פרצה ב-Check Point SmartConsole. החולשה, CVE-2026-16232, מאפשרת לתוקף לקבל הרשאות מנהל מלאות בשרת הניהול של חומת האש. הוא עושה זאת בלי שם משתמש ובלי סיסמה.
המידע מגיע מהודעת האבטחה של Check Point עצמה ומקטלוג החולשות המנוצלות של CISA, הסוכנות האמריקאית להגנת סייבר. לפי Check Point, הפרצה פגעה בקומץ לקוחות עם תצורה ספציפית מאוד. החברה יידעה אותם. אבל ברגע שיש תיקון, כל ארגון עם שרת ניהול צריך לבדוק את עצמו.
איך הפרצה ב-Check Point SmartConsole עוקפת את ההתחברות
SmartConsole הוא הממשק שבו מנהלי אבטחה עורכים את מדיניות חומת האש. הוא מתחבר לשרת ניהול, Security Management או Multi-Domain Security Management. השרת הזה מפיץ את המדיניות לשערי האבטחה של Check Point. לכן שינוי בו משפיע על כל השערים שהוא מנהל.
זו עקיפת אימות. תוקף מרחוק מקבל אסימון כניסה של אפליקציה, בלי להזדהות. עם האסימון הוא נכנס דרך SmartConsole כמנהל בעל כל ההרשאות. משם הוא משנה את מדיניות האבטחה ואת ההגדרות.
לא כל שרת חשוף באותה מידה. לפי Check Point, ניצול מרחוק דורש שני תנאים. הראשון: אפשר להגיע לכתובת ה-IP של שרת הניהול מהאינטרנט. השני: ההגדרה Trusted Clients, שקובעת מאילו מחשבים מותר להתחבר ל-SmartConsole, לא הוגבלה.
Rapid7 מוסיפה שהניצול התחיל לפני שיצא תיקון. לפי Help Net Security, כבר ב-29 באפריל רשמו מלכודות הדבש של Lupovis פעילות אוטומטית מול נקודות הקצה של ה-API של Check Point. החברה קושרת אותה לניצול של CVE-2026-16232 או של CVE-2026-62144.
מי חשוף ואילו גרסאות מתוקנות
Check Point פרסמה ב-22 ביולי עדכוני Jumbo Hotfix לשלוש חולשות. התיקון לחולשה הזו קיים לשלוש גרסאות. אלה R82.10 מ-Take 36, R82 מ-Take 118 ו-R81.20 מ-Take 158. לפי Check Point, לקוחות Smart-1 Cloud כבר מוגנים.
לגרסאות R81.10 ו-R81, שכבר אינן נתמכות, לא פורסם תיקון. אותו דבר נכון לגרסאות הישנות, מ-R77.30 עד R80.30. הדף של Check Point מונה גם אותן כפגיעות. מי שמריץ אותן צריך לשדרג.
באותה חבילה Check Point תיקנה עוד שתי חולשות. CVE-2026-62144 היא חולשה קריטית בשרת הניהול, שמאפשרת לתוקף להריץ פקודות ניהול בשרת ואחר כך בשערים שהוא מנהל. CVE-2026-62145 היא חולשה בפורטל Gaia, שמאפשרת למשתמש עם הרשאת קריאה בלבד להריץ פקודות כ-root. אין דיווח על ניצול של אף אחת מהשתיים.
CISA הוסיפה את CVE-2026-16232 לקטלוג ב-22 ביולי. היא קבעה לסוכנויות פדרליות אזרחיות בארה״ב מועד תיקון עד ה-25 ביולי. לפי Rapid7, ציון החומרה הוא 9.3 אצל היצרן ו-9.1 אצל CISA.
Check Point היא חברה ישראלית. לכן גם צוותי IT בישראל שמנהלים חומות אש שלה צריכים לבדוק את שרת הניהול.
מה זה אומר עבורכם
- התקינו את התיקון: העלו את Jumbo Hotfix ל-R82.10 מ-Take 36, ל-R82 מ-Take 118 או ל-R81.20 מ-Take 158.
- הגבילו את Trusted Clients: אם אי אפשר לתקן מיד, הגדירו רק כתובות או רשתות מהימנות, ולא Any. את ההגדרה תמצאו ב-Manage & Settings, Permissions & Administrators, Trusted Clients.
- סגרו את הגישה מהאינטרנט: הגנו על גישת הניהול בחומת אש והגבילו אותה לכתובות מהימנות. בדקו שחוקי ה-implied rules לחיבורי בקרה פעילים.
- חפשו עקבות: ביומני הביקורת, חפשו Authentication method: application token ו-Password based application token. בדקו מנהלים וכתובות IP שלא מוכרים לכם, וגם שש הכתובות ברשימה של Check Point.
- אל תסמכו על היעדר ממצאים: לפי Check Point, גם אם לא מצאתם את הכתובות, זה לא מוכיח שהסביבה נקייה.
- גרסה ללא תיקון: שדרגו לגרסה נתמכת, ובינתיים החזיקו את שרת הניהול מחוץ לאינטרנט הפתוח.
מה קרה מאז: ניתוח Rapid7 על Check Point SmartConsole
ב-28 ביולי הוסיפה Rapid7 לדף שלה ניתוח טכני של שורש הפרצה. לפי Help Net Security, פורסם גם סקריפט הוכחת היתכנות שבודק אם יעד פגיע או מתוקן.
כלי בדיקה ציבורי כזה עוזר למגנים. הוא משרת גם את מי שמחפש שרתים שלא עודכנו. לכן אין סיבה לדחות את ההתקנה.
מקורות והרחבה
- CVE-2026-16232: Authentication Bypass in SmartConsole Login (sk185169)Check Point
- CVE-2026-16232: Critical Check Point SmartConsole Authentication Bypass Exploited in the WildRapid7
- Attackers exploit critical Check Point flaw to take over firewall management (CVE-2026-16232)Help Net Security
- CISA Known Exploited Vulnerabilities CatalogCISA
הכתבה נכתבה במקור בעברית על ידי מערכת GEEKLIK, על בסיס המקורות שלמעלה ובדיקת העובדות מולם.
מצאתם טעות? דווחו לנו
