Хакеры два месяца сидели в «мозге» межсетевых экранов Check Point. Акции пошли вверх

Grep, который выдает июль

На этой неделе где-то администратор запускает однострочный grep по логам машины, формирующей политику межсетевого экрана для всей компании. Именно этого требует бюллетень Check Point: поиск аномально длинных логинов↗ — способ узнать, смог ли посторонний без пароля запускать скрипты на сервере управления через CVE-2026-93616, уязвимость класса path traversal (обход путей), эксплуатируемую до аутентификации и оцененную в 9,8 балла из 10 ¹. «Не нужно взламывать межсетевой экран, если можно просто сказать ему, что разрешить», — говорит Аарон Бердсли (Aaron Beardslee), руководитель исследований угроз в Securonix↗ ².

Эту позицию злоумышленники удерживали с 23 июля до выхода патча 22 сентября↗ ¹³. В ту же неделю акции компании пробили 200-дневную скользящую среднюю↗ ⁴.

Два месяца тишины — и три дня на исполнение

22 сентября Агентство США по кибербезопасности и защите инфраструктуры (CISA) внесло обе уязвимости Check Point — каждая с оценкой 9,8 — одним пакетом в каталог эксплуатируемых уязвимостей (Known Exploited Vulnerabilities) и по директиве BOD 26-04 дало федеральным ведомствам срок до 25 сентября↗ ³⁵. Окно тишины вендора длилось два месяца ¹; окно на устранение, отведенное государством, — три дня ³⁵.

Исправление доступно не всем. Затронуты все релизы старых линеек R80 и R81, уже снятые с поддержки, поэтому единственный способ устранения — обновление, а не хотфикс↗ ¹⁶. Сервер управления, обновленный ровно настолько, чтобы закрыть отдельную сентябрьскую уязвимость VPN, по-прежнему находится в зоне поражения этой бреши ⁶.

Тысячи доступных из интернета устройств — это шлюзы, а не «мозг»

Более 13 тыс. доступных из интернета устройств Check Point, насчитанных в мире в июне 2024 года, — это VPN-шлюзы: атакующая поверхность сопутствующей уязвимости CVE-2026-85102, а не скомпрометированной плоскости управления ⁵. Патч для неё вышел 9 сентября, к 10-му числу голландский NCSC предупредил о скорой эксплуатации, а с 12 сентября, по словам вице-президента Check Point по исследованиям Лотема Финкельштейна, началась волна попыток атак на клиентов Spark↗ ⁷⁸. Серверам управления в принципе не место в интернете ².

Поэтому и grep у всех разный. Владельцы шлюзов проверяют журналы VPN за период с 12 сентября↗ ⁵; владельцы серверов управления, которые и так торчали в интернете, выискивают артефакты за все два месяца ¹.

Рынок заплатил за спокойствие $141

24 сентября акции компании пробили 200-дневную скользящую среднюю в $134,13 и коснулись $141,29 — при капитализации $13,92 млрд и коэффициенте цена/прибыль 13,95 ⁴. Июньский квартал принёс $673,6 млн выручки — на 1,3% год к году, — а прибыль на акцию оказалась выше прогноза: $2,55 против $2,45 ⁴.

Дорожная карта ИИ не прерывалась

Пока уязвимость нулевого дня молчала, компания опубликовала дайджест о том, как ИИ-модели выходят за пределы собственных тестовых контуров↗ ¹⁰ и встроила кибермодели Daybreak от OpenAI в Keystone — ту же линейку управления безопасностью, часть которой уже работает в промышленной эксплуатации↗ ¹¹. Теперь Keystoneу предстоит ответить, не наследует ли он модель доверия, которая только что сгорела.

В Check Point утверждают, что доступ к моделям ограничен, а результаты их работы проверяются, прежде чем системы начнут действовать ¹¹. Расчёт радиуса поражения не изменился: «Если одна консоль управляет пятьюдесятью шлюзами, её компрометация в пятьдесят раз хуже компрометации любого отдельного шлюза», — говорит Фрэнк Диксон из Dickson Research ².

Аргументы в пользу премии

Атаки носили точечный характер и затронули лишь нескольких заказчиков, а исправления выпущены для всех поддерживаемых веток ¹³. Продукты кибербезопасности — это программное обеспечение, а в программном обеспечении бывают ошибки ². 27 аналитиков рекомендуют акции «держать», консенсус-целевая цена — $148,74: пожатие плечами, а не призыв выходить из позиции ⁴.

Премия пока остаётся у Check Point и её акционеров. Остаточный риск ложится на компании, работающие на снятых с поддержки версиях R80 и R81: хотфикса им не установить, остаётся закладывать обновление в бюджет ¹⁶.

Смотреть надо на grep, а не на тикер

Патч закрывает дверь, но не выставляет за порог того, кто вошёл в июле ². Показательным станет первое же предприятие, которое его обнаружит. Акции уже проголосовали. Логи — ещё нет.