Check Point เตือน Zero-Day บน Security Management Server (CVE-2026-93616) ถูกใช้โจมตีแบบเจาะจง — ระดับ 9.8 รันสคริปต์ได้โดยไม่ต้องล็อกอิน

สรุปสั้น

บริษัท Check Point เปิดเผยว่ามีผู้โจมตีใช้ช่องโหว่ที่ยังไม่เคยเปิดเผยมาก่อนบน Security Management Server ในการโจมตีแบบเจาะจงจำนวนหนึ่งเมื่อวันที่ 23 กรกฎาคม ช่องโหว่ดังกล่าวรหัส CVE-2026-93616 เปิดทางให้ผู้โจมตีที่เข้าถึงเว็บเซอร์วิสของเซิร์ฟเวอร์สามารถรันสคริปต์ได้โดยไม่ต้องล็อกอิน ซึ่ง Check Point จัดระดับความรุนแรงไว้ที่ CVSS 9.8 และได้ออกแพตช์แก้ไขเมื่อวันที่ 22 กันยายน สำหรับเซิร์ฟเวอร์ที่ทำหน้าที่ควบคุมนโยบายไฟร์วอลล์ของเกตเวย์ Check Point ที่มันบริหารจัดการอยู่

นอกเหนือจากนั้น Check Point ยังระบุว่าพบความพยายามโจมตีช่องโหว่ VPN รหัส CVE-2026-85102 มาตั้งแต่วันที่ 12 กันยายน โดยเล็งไปที่ลูกค้าที่ใช้ Spark ซึ่งเป็นไฟร์วอลล์ตระกูลสำหรับธุรกิจขนาดเล็ก ทั้งที่บริษัทเพิ่งออกแพตช์แก้ช่องโหว่นี้ไปเมื่อวันที่ 9 กันยายน คำแนะนำ (advisory) ของ Check Point ไม่ได้ระบุตัวเป้าหมายหรือผู้โจมตีในเหตุการณ์เดือนกรกฎาคม รวมถึงไม่ได้บอกว่าผู้โจมตีทำอะไรต่อหลังเจาะช่องโหว่สำเร็จ

รายละเอียดข่าว

เว็บไซต์ The Hacker News รายงานเมื่อวันที่ 22 กันยายน 2569 ว่า บริษัท Check Point ออกประกาศแจ้งเตือนว่าผู้โจมตีได้ใช้ช่องโหว่ที่ยังไม่เคยเปิดเผยมาก่อนบน Security Management Server ในการโจมตีแบบเจาะจงจำนวนหนึ่งเมื่อวันที่ 23 กรกฎาคม โดยเซิร์ฟเวอร์ตัวนี้เป็นระบบกลางที่ควบคุมนโยบายไฟร์วอลล์ของเกตเวย์ทั้งหมดที่อยู่ในการจัดการ จึงถือเป็นเป้าหมายที่มีมูลค่าสูง

ช่องโหว่ CVE-2026-93616 เป็นบั๊กประเภท path traversal บนเว็บเซอร์วิสของเซิร์ฟเวอร์จัดการ ซึ่งไม่จำกัดอย่างเหมาะสมว่าคำขอหนึ่ง ๆ จะเข้าถึงไฟล์และโฟลเดอร์ใดได้บ้าง ผู้โจมตีสามารถใช้ช่องโหว่นี้อัปโหลดสคริปต์ขึ้นเซิร์ฟเวอร์แล้วสั่งรันได้ Check Point ให้คะแนนความรุนแรงไว้ที่ 9.8 เต็ม 10 บนสเกล CVSS ในบันทึก CVE ของช่องโหว่ ทั้งนี้คำแนะนำของบริษัทไม่ได้ระบุว่าผู้โจมตีต้องมีการเข้าถึงเครือข่ายระดับใดจึงจะโจมตีได้

แยกอีกเรื่องหนึ่ง Check Point ระบุว่ามีความพยายามโจมตีช่องโหว่ VPN รหัส CVE-2026-85102 ตั้งแต่วันที่ 12 กันยายน ทั้งที่ออกแพตช์ไปแล้วเมื่อวันที่ 9 กันยายน โดยการโจมตีพุ่งเป้าไปยังลูกค้าที่ใช้ไฟร์วอลล์ตระกูล Spark และในตอนที่ออกแพตช์นั้นบริษัทยังไม่พบหลักฐานว่าช่องโหว่ถูกใช้โจมตีจริง

รายละเอียดช่องโหว่

CVE-2026-93616 เป็นช่องโหว่ path traversal บนเว็บเซอร์วิสของ Security Management Server ที่เปิดให้ผู้โจมตีแบบ pre-authentication (ไม่ต้องล็อกอิน) อัปโหลดสคริปต์แล้วสั่งรันบนเซิร์ฟเวอร์ได้ ระดับ CVSS 9.8 โดยเวอร์ชันที่ได้รับผลกระทบตามบันทึก CVE ได้แก่ R82.20 ที่ยังไม่ติดตั้ง Jumbo Hotfix, R82.10 ที่ติด Jumbo Hotfix Take 44 หรือต่ำกว่า, R82 ที่ Take 126 หรือต่ำกว่า, R81.20 ที่ Take 166 หรือต่ำกว่า, R81.10 ที่ Take 190 หรือต่ำกว่า (สิ้นสุดการสนับสนุน) รวมถึง R81, R80.40, R80.30, R80.20, R80.10 และ R80 ที่สิ้นสุดการสนับสนุนทั้งหมด อนึ่ง advisory ของ Check Point ระบุ R82.20 ว่าได้รับผลกระทบโดยไม่มีเงื่อนไข “ยังไม่ติด Jumbo Hotfix”

ก่อนหน้านี้เมื่อวันที่ 16 กันยายน Check Point ได้แก้ช่องโหว่อีกตัวบนเซิร์ฟเวอร์จัดการคือ CVE-2026-91843 ผ่าน LivePatch (LivePatch Take 28 หรือ Take 29 บน R82.20) แต่บริษัทยืนยันว่า LivePatch เหล่านั้น “ไม่ได้แก้” CVE-2026-93616 ดังนั้นเซิร์ฟเวอร์ที่อัปเดตเพียงเท่าที่พ้นช่วงช่องโหว่เดือนกันยายนจึงยังคงมีความเสี่ยงจาก CVE-2026-93616 อยู่

ส่วน CVE-2026-85102 เป็นช่องโหว่ในวิธีที่เกตเวย์ Check Point ตรวจสอบใบรับรอง (certificate) ระหว่างการตั้งค่าการเชื่อมต่อ VPN ซึ่งอาจให้ผู้โจมตีที่ไม่ได้ล็อกอินรันโค้ดบนเกตเวย์ได้ กระทบทั้ง Security Gateway และ Spark ไม่ว่าจะบริหารแบบรวมศูนย์หรือในเครื่อง บนเวอร์ชัน R81/R81.10 (สิ้นสุดการสนับสนุน), R81.10.x, R81.20, R82, R82.00.x และ R82.10 โดย NCSC ของเนเธอร์แลนด์ระบุว่าช่องโหว่นี้มีผลเมื่อผลิตภัณฑ์ใช้งาน Site-to-Site VPN หรือ Remote Access VPN Check Point ระบุว่าความพยายามโจมตีมาจากโครงสร้างที่ปกปิดตัวตน ทั้งบริการ VPN และพร็อกซี และใช้ใบรับรองที่มี subject เช่น CN=vpn, CN=vpn-user และ CN=vpnuser

ผลกระทบ

Security Management Server เป็นระบบกลางที่ควบคุมนโยบายไฟร์วอลล์ของเกตเวย์ทั้งหมดในการจัดการ การถูกยึดเซิร์ฟเวอร์นี้จึงเปิดทางให้ผู้โจมตีเข้าถึงและอาจแทรกแซงการป้องกันขององค์กรได้ในวงกว้าง ที่สำคัญคือ Check Point เตือนว่าการติดตั้งแพตช์ “ไม่ได้บอกว่า” เซิร์ฟเวอร์เคยถูกโจมตีมาก่อนหรือไม่ ผู้ดูแลจึงต้องล่าภัย (threat hunting) ควบคู่กับการแพตช์

ด้านช่องโหว่ VPN นั้นพุ่งเป้าที่ไฟร์วอลล์ Spark ซึ่งใช้ในธุรกิจขนาดเล็ก โดยผู้โจมตีที่เข้าสู่ระบบผ่าน Mobile Access มักตามด้วยการสแกนพอร์ตและบริการภายใน จึงเป็นความเสี่ยงต่อการขยายการบุกรุกเข้าสู่เครือข่ายภายใน

คำแนะนำ

สำหรับ CVE-2026-93616 ผู้ดูแล Security Management Server ควรตรวจสอบรุ่นและระดับ Jumbo Hotfix Take ของเซิร์ฟเวอร์เทียบกับรายการเวอร์ชันที่ได้รับผลกระทบ ติดตั้งแพตช์ตามที่ระบุใน sk1000171 และใช้แนวทางการล่าภัยพร้อมตัวบ่งชี้การบุกรุกใน sk1000171 เพื่อตรวจหาร่องรอยการโจมตี เนื่องจากการแพตช์เพียงอย่างเดียวไม่ยืนยันว่าเคยถูกเจาะหรือไม่

สำหรับ CVE-2026-85102 ลูกค้าที่ติดตั้งแพตช์เมื่อวันที่ 9 กันยายนถือว่าได้รับการป้องกันแล้ว โดยรายละเอียดอยู่ใน sk1000117 ผู้ดูแลควรตรวจ log หาการล็อกอิน Mobile Access ด้วยใบรับรองที่ผิดปกติ ไม่จำกัดเฉพาะ subject ที่ระบุไว้ และเฝ้าดูพฤติกรรมหลังล็อกอินที่มักเป็นการสแกนพอร์ตและบริการภายใน สำหรับเกตเวย์ที่ยังแพตช์ไม่ได้ NCSC ระบุ workaround สำหรับ Site-to-Site VPN คือปิด implied VPN rules และอนุญาต UDP พอร์ต 500 และ 4500 เฉพาะจากไอพีของ peer ที่กำหนดเท่านั้น (ไม่ใช้กับ Spark ที่บริหารในเครื่อง)

Indicators of Compromise (IoCs)

ใบรับรองที่ Check Point พบในความพยายามโจมตีช่องโหว่ VPN (CVE-2026-85102):

หมายเหตุ: รายการนี้ยังไม่ครบถ้วน อาจมี subject อื่นถูกใช้อยู่ด้วย ผู้ดูแลจึงควรตรวจ log การล็อกอิน Mobile Access ที่ผิดปกติทุกกรณี ไม่จำกัดเฉพาะ subject ข้างต้น

แหล่งอ้างอิง

• Check Point Warns of Management Server Zero-Day Exploited in Targeted Attacks — The Hacker News
• Security Advisory: Active Exploitation of CVE-2026-85102 and CVE-2026-93616 — Check Point
• CVE-2026-93616 — CVE.org Record