هناك نوع محدد جداً من الأيام السيئة في الأمن السيبراني: اليوم الذي يكون فيه الإصلاح موجوداً بالفعل، ويعرف المهاجمون ذلك، ولا يفصل بينهم وبين شبكتك سوى نافذة صيانة لم يجدولها أحد.
وهذا هو الوضع الذي يعيشه عملاء Check Point الآن. في 22 سبتمبر، نشرت Check Point Research تحذيراً يستوجب إجراءً عاجلاً يؤكد الاستغلال النشط للثغرة CVE-2026-85102، وهي ثغرة تنفيذ تعليمات برمجية عن بُعد قبل المصادقة في معالجة شهادات VPN لدى Security Gateway وSpark Firewall. صدر التصحيح في 9 سبتمبر، وبدأت محاولات الاستغلال في 12 سبتمبر. كانت الفترة بين "توفر الإصلاح" و"بدء الهجمات" ثلاثة أيام.
ما المعطوب فعلاً
الثغرة CVE-2026-85102 هي فشل في التحقق من الشهادات داخل مسار التفاوض على VPN، بتقييم CVSS 9.8. لا تتحقق البوابة بشكل صحيح من بيانات الشهادة الأساسية التي يقدمها الطرف المقابل أثناء التفاوض. ولأن العطل ينطلق قبل اكتمال المصادقة، فإن المهاجم لا يحتاج إلى اسم مستخدم ولا كلمة مرور ولا جلسة. يرسل شهادة مصنوعة، ويدفع التفاوض بعيداً بما يكفي، فيحصل على تنفيذ تعليمات برمجية على الجهاز نفسه. تشمل الإصدارات المتأثرة النطاق من R81.10.x إلى R82.10، سواء في Security Gateway أو في نشرات Spark Firewall المُدارة مركزياً أو محلياً.
أما الثغرة الثانية CVE-2026-93616 فهي تجاوز مسار قبل المصادقة في خدمة الويب الخاصة بـ Check Point Management. تتيح للمهاجم تنفيذ سكربت من مسار عشوائي وتحميل صنف Java عشوائي. رصدت Check Point عدداً محدوداً من الهجمات الدقيقة عليها في 23 يوليو، وجاء الإصلاح مع هذا التحذير. لاحظ التفصيل المؤلم: الإصلاح الفوري LivePatch Take 28/29 لا يعالجها.
الجزء الذي يجب أن يقلقك
هذه ليست قصة نظرية من نوع "أثبت الباحثون الأمر". فقد نشرت Check Point مواضيع الشهادات التي التقطتها بياناتها من الواقع:
CN=vpn,OU=users,O=globalCN=vpn-user,OU=users,O=globalCN=vpnuser,OU=users,O=global
وجاءت هذه المحاولات من بنية إخفاء هوية: خدمات VPN ووكلاء بروكسي، أي طبقة التمويه المعتادة. والسلوك التالي هو الإشارة التي تهم. فبعد عملية دخول مشبوهة عبر Mobile Access، تكون المرحلة الثانية المرصودة عبارة عن مسح داخلي للمنافذ والخدمات. شخص ما يدخل من المحيط، ثم يبدأ في رسم ما يمكن الوصول إليه أيضاً.
والمحيط هو بالتحديد المكان الذي تكون فيه ثغرة التنفيذ قبل المصادقة الأكثر تكلفة. فبوابة VPN لديك ليست تطبيقاً خلف جدار حماية تطبيقات. إنها جهاز مخصص يقف على حدود الثقة، وغالباً ما يكون متصلاً بمزوّد الهوية وبشبكة الإدارة الداخلية وأحياناً بدليل المستخدمين. تنفيذ التعليمات البرمجية هناك ليس خطوة نحو رفع الصلاحيات، بل هو عادةً تجاوز كامل للجدار.
ثلاثة أيام هي المدة الجديدة
يستحق الجدول الزمني نظرة باردة، لأنه الدرس الحقيقي:
- 9 سبتمبر: Check Point تكشف CVE-2026-85102 وتنشر الإصلاحات. لا يوجد استغلال مرصود.
- 12 سبتمبر: تبدأ موجة من محاولات الاستغلال ضد عملاء Spark حول العالم.
- 22 سبتمبر: تحذير عاجل يستوجب إجراءً يؤكد هجمات فعلية.
هذا أسبوعان من الإفصاح إلى الاستغلال المؤكد، وثلاثة أيام فقط من التصحيح إلى الهجوم. وأي مؤسسة تدير دورة صيانة أطول من ذلك تدير تعرضاً للخطر لا جدولاً زمنياً. فاقتصاد الأدلة العامة على الثغرات والمسح الآلي أصبحا أسرع من أن يكون التصحيح الربع سنوي استراتيجية.
ما يجب فعله هذا الأسبوع
إذا كنت تشغّل Check Point Security Gateway أو Security Management، فتعامل مع الأمر كتغيير في وضع الاستجابة للحوادث، لا كتذكرة تصحيح عادية:
- ثبّت الإصلاحات الآن. الثغرة CVE-2026-85102 مغطاة بإصدار 9 سبتمبر، أما CVE-2026-93616 فتتطلب حزم Jumbo Hotfix المذكورة في التحذير (R82.10 Take 45+ وR82 Take 127+ وR81.20 Take 167+ وR81.10 Take 191+) أو البنية الأحدث في sk1000171. تجاهل LivePatch Take 28/29 بالنسبة لثغرة الإدارة.
- افتش في سجلات Mobile Access. ابحث عن عمليات دخول غير اعتيادية قائمة على الشهادات، ولا تقصر البحث على المواضيع الثلاثة المذكورة أعلاه؛ فالقائمة غير شاملة صراحةً.
- تابع المرحلة الثانية. لكل مستخدم مشبوه مسجّل الدخول، ابحث عن عمليات مسح داخلية للمنافذ والخدمات صادرة من تلك الجلسة. هذا النمط هو ما يفرّق بين محاولة سبر محجوبة ونقطة تمركز.
- اجرد الأجهزة المنتهية الدعم. إن الإصدارين R81 وR81.10 خارج الدعم ولا يزالان على قائمة المتأثرين. من يشغّل أجهزة في هذا النطاق يصحح نظاماً لا يصدر أحد إصلاحات له افتراضياً. خطط للاستبدال، لا للإصلاح الفوري فقط.
- اعتبر أن أخطاء مرحلة التفاوض متكررة. كل جهاز VPN وTLS تديره يتحقق من شهادات في مكان ما. اسأل مورديك السؤال المزعج: ماذا يحدث عندما يفشل هذا التحقق من الأساس؟
الخلاصة
لم يحتج المهاجمون إلى سحر ثغرة يوم صفر في الحدث الرئيسي. لقد استخدموا عطلاً كان له إصلاح وتحذير وأسبوعان من التقدم. والمؤسسات التي تتضرر هنا ليست تلك التي تملك أضعف الأدوات، بل تلك التي تتعامل فيها إدارة التغيير مع ثغرة تنفيذ عن بُعد بتقييم 9.8 على المحيط كبند روتيني.
صحّح الآن، ثم اذهب لقراءة السجلات. فعمليات المسح هي الجزء من القصة الذي ما زال بإمكانك التقاطه.