Positive Technologies представила октябрьский дайджест трендовых уязвимостей
Эксперты Positive Technologies отнесли к трендовым еще две уязвимости. Они обнаружены в механизме межпроцессного взаимодействия ALPC операционной системы Windows, в шлюзах безопасности Check Point Security Gateway и межсетевых экранах Spark Firewall. Все уязвимости уже эксплуатируются злоумышленниками в реальных атаках.
Трендовыми уязвимостями называются наиболее опасные недостатки безопасности в инфраструктуре компаний, требующие оперативного устранения или принятия компенсирующих мер. Они либо уже активно эксплуатируются злоумышленниками, либо могут быть использованы ими в ближайшее время. Чтобы определить трендовые уязвимости, эксперты Positive Technologies собирают и анализируют информацию из различных источников: баз уязвимостей и эксплойтов, бюллетеней безопасности вендоров, социальных сетей, блогов, телеграм-каналов, публичных репозиториев кода. Выявлять такие недостатки в инфраструктуре компании помогает система управления уязвимостями MaxPatrol VM, в которую информация о трендовых уязвимостях поступает в течение 12 часов с момента их появления.
Уязвимость, приводящая к локальному повышению привилегий, в механизме ALPC операционной системы Windows PT-2026-88151 (CVE-2026-85880, CVSS — 7,8)
Механизм ALPC присутствует в каждой поддерживаемой версии Windows — от рабочих станций до Windows Server. Однако, согласно записи CVE, риску эксплуатации CVE-2026-85880 подвержены только некоторые сборки Windows 10 (1607, 1809, 21H2, 22H2) и Windows Server 2012, 2012 R2, 2016, 2019 и 2022.
Для эксплуатации уязвимости атакующему сначала необходимо получить возможность выполнять код на уязвимой системе Windows с минимальными привилегиями. После этого он может локально проэксплуатировать недостаток безопасности, выйти за пределы песочницы и повысить привилегии до SYSTEM — максимального уровня привилегий в Windows. Успешная атака может привести к полной компрометации рабочей станции или сервера. С правами SYSTEM злоумышленник может отключить средства защиты, украсть учетные данные и токены аутентификации, закрепиться в системе и развивать атаку в корпоративной сети через установку вредоносного ПО.
Для того, чтобы защититься, необходимо установить накопительные обновления Windows, которые представлены на официальном сайте Microsoft. После установки обновлений безопасности потребуется перезагрузка системы.
Уязвимость, приводящая к удаленному выполнению произвольного кода, в шлюзах Check Point Security Gateway и межсетевых экранах Spark Firewall
PT-2026-88979 (CVE-2026-85102, CVSS — 9,8)
По данным Positive Technologies, в интернете доступно около 12 000 шлюзов Check Point с активным VPN-сервисом. С 12 сентября Check Point начала фиксировать активные попытки атак, нацеленных в первую очередь на клиентов, использующих межсетевые экраны нового поколения Check Point Spark Firewall. 22 сентября CISA добавило недостаток безопасности в каталог известных эксплуатируемых уязвимостей (KEV).
Поскольку уязвимость затрагивает периметровые устройства, которые контролируют весь входящий и исходящий сетевой трафик компании, их компрометация дает атакующему возможность перехвата, модификации и блокирования трафика, отключения или обхода функций защиты периметра. Кроме того, злоумышленник может использовать скомпрометированный шлюз для перемещения во внутреннюю ИТ-инфраструктуру. Дальнейшее развитие атаки может привести к краже учетных данных и конфигурационных файлов шлюза, компрометации доверенных Site-to-Site VPN-туннелей с партнерскими организациями или филиалами, а также к развертыванию вредоносного ПО или программ-вымогателей во внутренней сети компании.
Основной способ устранения уязвимости — установка обновлений безопасности Check Point, выпущенных 9 сентября 2026 года. Для Spark Firewall необходимо обновить прошивку до версии R82.00.10 Build 2325 или выше либо R81.10.17 Build 4968 или выше. Если немедленная установка исправлений невозможна, следует применить рекомендованные производителем компенсирующие меры. При этом такие меры подходят не для всех конфигураций. Для Remote Access VPN и локально управляемых межсетевых экранов Spark Firewall единственная эффективная мера, устраняющая CVE-2026-85102, — установка исправлений.
Не стоит забывать и об исправлении других уязвимостей, которые также могут нанести непоправимый вред организации. Узнавать об актуальных недостатках безопасности можно на странице трендовых уязвимостей и на портале dbugs, где аккумулируются данные об уязвимостях в ПО и оборудовании производителей со всего мира, а также рекомендации вендоров по их устранению.
