พบช่องโหว่ Authentication Bypass ใน Check Point ทำให้สามารถควบคุมระบบ Security Management ได้

Check Point ได้ออกแพตช์อัปเดตด้านความปลอดภัยเพื่อแก้ไขช่องโหว่ประเภท Authentication bypass ที่มีความรุนแรงระดับสูง (CVE-2026-18574) ซึ่งอาจทำให้ผู้โจมตีสามารถเข้าควบคุมระบบ Security Management ได้

ช่องโหว่นี้ส่งผลกระทบต่อการติดตั้งใช้งานทั้งในรูปแบบ Security Management Server และ Multi-Domain Security Management Server ในหลายเวอร์ชันของ Check Point

โดย Check Point ระบุว่า ผู้โจมตีที่ไม่จำเป็นต้องผ่านการยืนยันตัวตน และสามารถเข้าถึง management server เป้าหมายผ่านเครือข่ายได้ จะสามารถ Bypass การยืนยันตัวตน (Authentication) ของส่วน Management และเรียกใช้คำสั่งได้ตามที่ต้องการ

การโจมตีที่สำเร็จอาจนำไปสู่การเข้าควบคุมระบบ Security Management ได้ทั้งหมด ซึ่งส่งผลกระทบต่อ Firewall policies, การตั้งค่า Gateway, การเข้าถึงของผู้ดูแลระบบ รวมถึงโครงสร้างพื้นฐานด้านความปลอดภัยทั้งหมดที่อยู่ภายใต้การบริหารจัดการดังกล่าว

ช่องโหว่นี้ส่งผลกระทบต่อเวอร์ชันดังต่อไปนี้ :

  • R80
  • R80.10
  • R80.20
  • R80.30
  • R80.40
  • R81
  • R81.10
  • R81.20
  • R82
  • R82.10

ซึ่งเวอร์ชันเกือบทั้งหมด end of support ไปแล้ว ส่วนเวอร์ชันที่ยังอยู่ในการ support และได้รับผลกระทบด้วย ได้แก่ R81.20, R82 และ R82.10

ช่องโหว่ Authentication bypass ใน Check Point

Check Point ยืนยันว่าลูกค้าที่ใช้งาน Smart-1 Cloud ได้รับการป้องกันจากช่องโหว่นี้แล้ว โดยบริษัทระบุว่า ได้ตรวจพบ CVE-2026-18574 ด้วยตนเองภายในองค์กร และยังไม่พบหลักฐานว่าช่องโหว่นี้ถูกนำไปใช้ในการโจมตีจริง

อย่างไรก็ตาม ผลกระทบที่อาจเกิดขึ้นทำให้การติดตั้งแพตช์โดยเร็วเป็นเรื่องจำเป็นอย่างมาก เนื่องจาก Security Management Server มักถือครองสิทธิ์การเข้าถึงระดับสูงต่อการตั้งค่าไฟร์วอลล์ และการควบคุมนโยบายด้านความปลอดภัยขององค์กร ทั้งนี้การโจมตีผ่านช่องโหว่นี้จำเป็นต้องสามารถเชื่อมต่อผ่านเครือข่ายไปยัง Check Point Security Management Server ได้

องค์กรจะมีความเสี่ยงเพิ่มสูงขึ้นหากไม่มีการจำกัดการเข้าถึงแบบ Trusted Clients, อนุญาตให้เชื่อมต่อ GUI Client จากเครือข่ายที่กว้างเกินไป หรือเปิดให้ management services เข้าถึงได้จากเครือข่ายที่ไม่น่าเชื่อถือ โดยส่วนการบริหารจัดการ (Management access) ไม่ควรเข้าถึงได้โดยตรงจากอินเทอร์เน็ต หรือจากเครือข่ายของผู้ใช้งานที่ไม่มีการจำกัดสิทธิ์

Check Point ได้แก้ไขช่องโหว่นี้ผ่านการอัปเดต Jumbo Hotfix Accumulator โดยแพตช์แก้ไขมีให้อัปเดตแล้วดังต่อไปนี้ :

  • Jumbo Hotfix Accumulator Take 404040 สำหรับ R82.10
  • Take 122122122 สำหรับ R82
  • Take 161161161 สำหรับ R81.20

องค์กรที่ยังใช้งานเวอร์ชัน R80 และ R81 รุ่นแรก ๆ ซึ่ง end of support ไปแล้ว ควรให้ความสำคัญกับการอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุนเป็นลำดับแรก เนื่องจากอาจไม่มีแพตช์แก้ไขสำหรับเวอร์ชันที่ end of support เหล่านี้

ในระหว่างที่ยังไม่สามารถติดตั้งแพตช์ได้ Check Point แนะนำให้จำกัดการเข้าถึงแบบ Trusted Clients ใน SmartConsole ให้เหลือเฉพาะ IP Address และ Subnet ของผู้ดูแลระบบที่ได้รับอนุญาตเท่านั้น

นอกจากนี้ ผู้ดูแลระบบควรดำเนินการดังนี้

  • หลีกเลี่ยงการกำหนดค่า Trusted Client เป็น "Any"
  • ติดตั้ง Security Policy ที่อัปเดตแล้วหลังจากทำการแก้ไขการตั้งค่า
  • จำกัดการเชื่อมต่อไปยังส่วน management services ให้เหลือเฉพาะเครื่องของผู้ดูแลระบบที่เชื่อถือได้ และกำหนดไว้โดยเฉพาะเท่านั้น

ขณะเดียวกัน ทีมความปลอดภัยควรตรวจสอบให้แน่ใจว่า

  • มีการจำกัดการเข้าถึงระบบ Security Management
  • เปิดใช้งาน Implied Rules (implied rules protecting control connections)
  • ระบบ Security Management ไม่ได้เปิดให้เข้าถึงจากอินเทอร์เน็ต

ตรวจสอบ Log เพื่อค้นหาการเชื่อมต่อเข้าสู่ส่วน Management ที่ผิดปกติ, พฤติกรรมของผู้ดูแลระบบที่ไม่ปกติ หรือการรันคำสั่งที่น่าสงสัย เพื่อช่วยตรวจจับความพยายามในการโจมตีระบบได้

เนื่องจาก Security Management Server ทำหน้าที่เป็นศูนย์กลางในการควบคุมระบบ การถูกโจมตีสำเร็จจึงอาจทำให้ผู้โจมตีสามารถแก้ไข security policies, สร้างบัญชีผู้ใช้ที่มีสิทธิ์สูง, ปิดการทำงานของระบบป้องกัน หรือโจมตีต่อไปยังระบบอื่นที่อยู่ภายใต้การบริหารจัดการต่อได้ องค์กรจึงควรพิจารณาให้ CVE-2026-18574 เป็นช่องโหว่ที่ต้องเร่งแก้ไขเป็นลำดับแรก และติดตั้ง Hotfix ของ Check Point ที่เกี่ยวข้องโดยเร็วที่สุด

ที่มา : Cybersecuritynews