חברת Check Point אישרה בשבוע שעבר תרחיש שמנהלי אבטחה מעדיפים לא לדמיין: חולשה קריטית במערכות הניהול המרכזיות שלה — Security Management ו‑ Multi-Domain Security Management — מנוצלת באופן פעיל בידי פושעי סייבר. לפי החברה, קומץ לקוחות כבר נפרצו בפועל וקיבלו על כך הודעה. סוכנות הסייבר האמריקאית CISA צירפה את החולשה, המסומנת CVE-2026-16232, לקטלוג החולשות המנוצלות (KEV) והורתה לסוכנויות הפדרליות האזרחיות לתקן אותה ולבדוק אם נפגעו — עד 25 ביולי, יומיים בלבד לאחר הפרסום.
איך עובדת הפגיעות?
כדי להבין את חומרת האירוע צריך להבין מה בדיוק נפרץ. שרת ה‑ Security Management הוא המוח של מערך Check Point בארגון: בו נכתבת מדיניות האבטחה וממנו היא מופצת לכל חומות האש המנוהלות. הגישה לשרת נעשית באמצעות קונסולת הניהול SmartConsole. החולשה היא עקיפת אימות (Authentication Bypass) במלוא מובן המילה: תוקף חיצוני, ללא שם משתמש וללא סיסמה, מסוגל להשיג אסימון התחברות (Token) — מעין כרטיס כניסה דיגיטלי — ולהתחבר באמצעותו ל‑ SmartConsole עם הרשאות אדמין מלאות ומשם לשנות כרצונו את מדיניות האבטחה ואת תצורת האבטחה. לניצול מרחוק נדרשים שני תנאים: ששרת הניהול יהיה נגיש מהאינטרנט ושהגדרת Trusted Clients לא תגביל את הגישה — כלומר שכל כתובת IP מורשית לפנות לממשק הניהול. ככל שהשילוב הזה קיים – החשיפה מיידית.
המשמעות: תוקף שכותב את חוקי המשחק
כאן טמון ההבדל בין החולשה הזו לרוב החולשות: לא מדובר בפריצה לשרת בודד, אלא בהשתלטות על המערכת שקובעת מה מותר ומה אסור ברשת כולה. תוקף שמחזיק בהרשאות אדמין על שרת הניהול יכול לפתוח לעצמו חוקים בחומת האש, להחליש הגנות בשקט וליצור נתיבי גישה קבועים — כשכל פעולה כזו נראית כשינוי לגיטימי של מנהל מערכת. בקהילת CheckMates של Check Point ניסחו זאת בחדות: פגיעה במישור הניהול עלולה לערער את מודל האמון של ארכיטקטורת האבטחה כולה. לישראלים, הסיפור נוגע במיוחד: Check Point היא מספקיות האבטחה הנפוצות ביותר במשק הישראלי ובכל ארגון שבו שרת הניהול נגיש מהאינטרנט בהגדרות ברירת המחדל — ובמיוחד בעסקים קטנים ובינוניים שאין בהם צוות אבטחה ייעודי שמקשיח את התצורה — החולשה רלוונטית כאן ועכשיו.
מה עושים עכשיו?
Check Point שחררה Jumbo Hotfix (חבילת תיקונים מרוכזת) לגרסאות הנתמכות R81.20, R82 ו‑ R82.10 וההמלצה ברורה: להתקין בהקדם האפשרי. חשוב לדעת שאותם עדכונים סוגרים גם שתי חולשות נוספות, שלא ידוע על ניצול פעיל שלהן: CVE-2026-62144 הקריטית, המאפשרת לתוקף להריץ פקודות ניהוליות על שרת הניהול ומשם להריץ פקודות על השערים המנוהלים וכן, CVE-2026-62145 בממשק Gaia Portal, המאפשרת למשתמש בעל הרשאות קריאה בלבד להריץ פקודות ברמת root — דרג ההרשאות הגבוה ביותר במערכת. ארגונים שאינם יכולים לעדכן מיידית נדרשים לכל הפחות להגביל את Trusted Clients לכתובות IP ספציפיות ולהגן על הגישה לממשק הניהול באמצעות חומת אש. בנוסף שיתפה החברה רשימת כתובות IP ששימשו את התוקפים, לצד הנחיות כיצד לבדוק אם נפגעתם; מומלץ מאוד להצליב את הכתובות הללו מול היומנים שלכם — כדי לוודא שפושעי הסייבר לא ביקרו אצלכם כבר.
הזווית של 010: ארבע שכבות שסוגרות את הפרצה
האירוע הזה ממחיש במדויק את הנקודות שבהן 010 מלווה ארגונים ביום־יום. שירות עדכוני תוכנה ואבטחה דואג לכך ש‑ Hotfix קריטי כזה יותקן בזמן, באופן מנוהל ומתועד — לפני שפושעי הסייבר מקדימים אתכם. סקר סיכונים של 010 מאתר מראש בדיוק את התצורות שאפשרו כאן את הניצול: ממשקי ניהול חשופים לאינטרנט, הגדרות Trusted Clients רחבות מדי והרשאות עודפות. שירות SIEM/SOC מנטר את הסביבה סביב השעון ומזהה בדיוק את מה שחולשה כזו מייצרת — התחברות אדמין חריגה, שינויי מדיניות לא צפויים ופניות ממקורות זרים לממשקי ניהול. כמו כן, שירות מודיעין סייבר עוקב אחר קטלוג ה‑ KEV ואחר אינדיקטורים עדכניים כמו רשימת כתובות ה‑ IP שפרסמה Check Point ומצליב אותם מול מה שקורה אצלכם ברשת. אם הארגון שלכם מבוסס על Check Point — זה הרגע לוודא שהעדכון הותקן, שממשק הניהול אינו חשוף לאינטרנט ושמישהו באמת מסתכל על הלוגים.
למקור הידיעה ולקריאה נוספת לחצו כאן
