Check Point ข้ามพาธรันสคริปต์ได้ CVE-2026-93616
ผู้ดูแล Check Point Management และระบบเก็บล็อกที่อยู่ในข่ายต้องจำกัดการเข้าถึงและติดตั้ง Hotfix ทันที เพราะมีการใช้โจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีที่ยังไม่ยืนยันตัวตนอัปโหลดและสั่งรันสคริปต์บน Management Server ได้ผ่านช่องโหว่ข้ามพาธ
- Who should read
- กระทบ Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server และ SmartEvent ในรุ่นที่ระบุ
- Fix in short
- ติดตั้ง Jumbo Hotfix หรือ Security Hotfix ตามสายรุ่นในตาราง พร้อมตรวจหาร่องรอยการบุกรุกตาม sk1000171
พอดีไล่ฟีด CISA KEV เจอประกาศ Check Point Multiple Products Path Traversal Vulnerability หมายเลข CVE-2026-93616 ลงวันที่ 22 กันยายน 2026 เป็นปัญหาในกลุ่มระบบจัดการและเก็บล็อกของ Check Point ที่ผู้โจมตีไม่ต้องมีบัญชีก็อัปโหลดและรันสคริปต์ได้ CISA เพิ่มรายการนี้เพราะมีหลักฐานการใช้โจมตีจริงแล้ว คนที่ดูแลระบบกลุ่มนี้ควรตรวจรุ่นและเตรียมลงแพตช์ทันที (ประกาศ CISA)
เกิดอะไรขึ้น
ช่องโหว่ path traversal ทำให้ผู้โจมตีใช้เส้นทางไฟล์นอกขอบเขตที่ระบบควรอนุญาตได้ เมื่อใช้ร่วมกับปัญหาอัปโหลดไฟล์ ผู้โจมตีที่ไม่ล็อกอินก็อัปโหลดและรันสคริปต์บน Management Server ได้ Check Point ให้คะแนน CVSS 3.1 ที่ 9.8 ระดับ Critical การโจมตีไม่ต้องให้ผู้ใช้อื่นกดอะไร (ข้อมูล CVE จากผู้ผลิต)
ประกาศ Check Point อธิบายเพิ่มว่า web service ฝั่ง Management สามารถถูกใช้เรียกสคริปต์จากพาธที่ผู้โจมตีกำหนดและโหลด Java class ตามต้องการได้ ผลกระทบเลยถึงขั้นรันโค้ดบนเซิร์ฟเวอร์ ไม่ได้หยุดแค่การอ่านไฟล์ ผู้ผลิตพบการโจมตีแบบเจาะจงจำนวนจำกัดเมื่อ 23 กรกฎาคม 2026 และออกประกาศพร้อมแนวทางแก้เมื่อ 22 กันยายน 2026 (Security Advisory ของ Check Point)
ใครโดนและรุ่นที่แก้
ผลิตภัณฑ์ที่อยู่ในข่ายคือ Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server และ SmartEvent ตาม รายการ KEV ของ CISA ตารางด้านล่างใช้ช่วงรุ่นจาก CVE และเลขแพตช์ที่ผู้ดูแล Check Point ประกาศใน CheckMates โดย JHF หมายถึง Jumbo Hotfix (รายการรุ่นใน CVE, ประกาศเลข Hotfix)
| สายรุ่น | รุ่นที่ได้รับผลกระทบ | แพตช์ที่ระบุให้ติดตั้ง |
|---|---|---|
| R82.20 | ยังไม่มี Jumbo Hotfix | R82.20 Security Hot Fix Take 1 |
| R82.10 | JHF Take 44 หรือต่ำกว่า | JHF Take 45 |
| R82 | JHF Take 126 หรือต่ำกว่า | JHF Take 127 |
| R81.20 | JHF Take 166 หรือต่ำกว่า | JHF Take 170 |
| R81.10 (EoS) | JHF Take 190 หรือต่ำกว่า | JHF Take 192 |
| R80, R80.10, R80.20, R80.30, R80.40, R81 (EoS) | อยู่ในรายการที่กระทบ | ไม่ระบุเลขแพตช์ในประกาศสาธารณะที่ตรวจได้ ให้ตรวจเส้นทางอัปเกรดกับผู้ผลิต |
เลข Take ต้องดูคู่กับสายรุ่นเสมอ อย่าอนุมานว่า Take ระหว่างช่วงที่ได้รับผลกระทบกับเลขแพตช์ในตารางแก้แล้ว ส่วนเครื่องแบบ Standalone ที่รวม Management กับ Firewall ไว้ด้วยกันยังอยู่ในข่ายตามคำชี้แจงของผู้ดูแล CheckMates (คำชี้แจง Standalone)
ต้องทำอะไร
เริ่มจากสำรวจทุกเครื่องที่ทำหน้าที่ Management, Log Server และ SmartEvent บันทึก release กับ Hotfix Take ที่ติดตั้งจริง แล้วเลือกแพ็กเกจให้ตรงสายรุ่นตาม sk1000171 สำรองข้อมูลและเตรียมวิธีย้อนกลับก่อนติดตั้ง หลังลงแพตช์ให้ตรวจเลข Take อีกครั้ง พร้อมทดสอบงานจัดการนโยบายและการรับล็อกที่ใช้งานอยู่
ระหว่างเตรียมแพตช์ ผู้ผลิตแนะนำให้จำกัด TCP/19009 ให้เข้าถึงได้เฉพาะ IP ที่เชื่อถือได้ ตรวจทั้งเส้นทางจากอินเทอร์เน็ตและเครือข่ายภายใน อย่าถือว่าการอยู่หลัง Firewall เพียงอย่างเดียวทำให้บริการนี้ปลอดภัย และให้ตรวจหาร่องรอยการบุกรุกตามขั้นตอนใน advisory ควบคู่กัน (คำแนะนำจาก Check Point)
Check Point ระบุว่า LivePatch Take 28/29 ไม่แก้ CVE-2026-93616 ต้องใช้ Hotfix ที่ตรงสายรุ่นตามประกาศ
การลงแพตช์ปิดช่องโหว่ไม่ได้ยืนยันว่าเครื่องไม่เคยถูกบุกรุก หากพบสิ่งผิดปกติควรเก็บหลักฐานและประสานทีมรับมือเหตุการณ์ สำหรับ KEV รายการนี้ CISA กำหนดวันแก้ไขเป็น 25 กันยายน 2026 ข้อบังคับเกี่ยวข้องกับหน่วยงานรัฐบาลกลางสหรัฐฯ ที่อยู่ในขอบเขต ส่วนองค์กรอื่นใช้เป็นข้อมูลจัดลำดับความเร่งด่วนได้ (ข้อมูล KEV ของ CISA, ขอบเขตคำสั่งของ CISA)
ส่วนตัวผมให้เรื่องนี้เป็นงานแพตช์เร่งด่วน พร้อมตรวจการบุกรุกไปด้วย เพราะผู้ผลิตยืนยันการโจมตีจริงแล้ว ที่มา: CVE-2026-93616 — Check Point Multiple Products Path Traversal Vulnerability และ Check Point sk1000171 หากมีรายละเอียดจากประกาศที่ต้องขยายความ เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first