Check Point yönetim sunucularında kimlik doğrulaması gerektirmeyen stack overflow, root kod çalıştırmaya imkân veriyor

Ne oldu

CVE-2026-91843 olarak takip edilen kritik bir uzaktan kod çalıştırma açığı, çeşitli Check Point yönetim ürünlerinde ortaya çıktı. dev.to üzerindeki teknik bir yazıya göre bu kusur; Security Management Server, Multi-Domain Security Management Server, Log Server ve Multi-Domain Log Server ürünlerini etkiliyor. Yazıya göre Hindistan'ın CERT-In kuruluşu bulguyu 18 Eylül 2026'da CIVN-2026-0465 numaralı zafiyet notu olarak yayımladı ve kritik derecelendirme verdi.

Kusur nasıl çalışıyor

Hata, kimlik doğrulaması gerektirmeyen oturum açma yolunda bulunan bir stack buffer overflow. Uzaktan bir saldıgan, oturum açma işleyicisine kötü niyetle hazırlanmış bir istek gönderir; hatalı biçimlendirilmiş girdi bir stack buffer'ı taşırır ve saldırgana program yürütmesini yönlendirme yeteneği kazandırır. Güvenlik açığı içeren kod herhangi bir kimlik bilgisi denetlenmeden önce çalıştığı için geçerli bir kullanıcı adı veya parola gerekmez ve yönetim arayüzüne erişebilmenin ötesinde ağda önceden bir dayanak noktası gerekmez. dev.to yazısına göre başarılı bir sömürü, hedeflenen sunucuda root ayrıcalıklarıyla keyfî kod çalıştırma ile sonuçlanıyor.

Saldırgan ne kazanıyor

Bir yönetim veya log sunucusu, bir güvenlik dağıtımında yüksek değerli bir hedeftir. Bu sistemler, yönettikleri ortamların güvenlik ilkelerini, gateway yapılandırmalarını ve log verilerini barındırır. Yazı, root erişimiyle bir saldırganın güvenlik ilkesini yeniden yazabileceği, zorunlu kılmayı devre dışı bırakabileceği, saklanan logları okuyabileceği veya bunlarla oynayabileceği ve ele geçirilen sunucuyu, yönettiği gateway'lere doğru bir sıçrama tahtası olarak kullanabileceği konusunda uyarıyor.

Etkilenen sürümler

dev.to yazısı şu sürümlerin etkilenmiş olarak listeliyor:

• R82.20
• Jumbo Hotfix Take 44 dahil R82.10 ve öncesindeki sürümler
• Jumbo Hotfix Take 126 dahil R82 ve öncesindeki sürümler
• Jumbo Hotfix Take 166 dahil R81.20 ve öncesindeki sürümler
• Jumbo Hotfix Take 190 dahil R81.10 ve öncesindeki sürümler (desteği sona erdi)
• R80, R80.10, R80.20, R80.30, R80.40 ve R81 (hepsinin desteği sona erdi)

Düzeltme ve azaltım

Kurumlar, Check Point danışma belgesi sk1000155'te açıklanan ve CERT-In notunda referans verilen satıcı düzeltmelerini uygulamalıdır. Etkilenen bir sürüm hemen yamanamıyorsa, yazı; yönetim ve log sunucusu arayüzlerine erişimi yalnızca güvenilir yönetim ağlarının ulaşabileceği şekilde sınırlandırmayı ve bu hizmetlere yönelik anormal oturum açma girişimlerini izlemeyi öneriyor. Desteği sona ermiş sürümleri çalıştıran dağıtımlar yeni hotfix alamayacağı için desteklenen bir sürüm hattına geçirilmelidir.

Neden önemli

Bir güvenlik yönetim sunucusunda kimlik doğrulaması öncesi uzaktan kod çalıştırma, bir ağ güvenliği ekibi için en kötü senaryoya yakın. Yönetim düzlemi, güvenlik duvarı ilkesinin doğruluk kaynağıdır; orada root alan bir saldırgan kuralları yeniden yazabilir, zorunlu kılmayı zayıflatabilir ve saldırıyı ortaya çıkaracak logların kendisiyle oynayabilir; tüm bunları yaparken yönetilen gateway'lere güvenilir bir kanalı elinde tutar. Sömürü, yönetim arayüzüne erişilebilirlikten fazlasını gerektirmediği için maruziyet çoğunlukla ağ mimarisine bağlıdır: geniş veya güvenilmeyen ağlara açık yönetim portları, sunucu taraflı bir hatayı tüm altyapının ele geçirilmesine dönüştürür. Bu açıklama ayrıca desteği sona ermiş yazılım çalıştırmanın pratik maliyetini gösteriyor — etkilenen several sürüm hattı hiç düzeltme almayacak ve tek gerçek çare yükseltme olarak kalıyor.

Şu an için bu raporun, CERT-In notunu ve Check Point danışma belgesini özetleyen tek bir yayımlanmış yazıya dayandığını belirtmek gerekir. Etkilenen Check Point dağıtımlarını çalıştıran ekipler, yükleme penceresini planlamadan önce sürüm ve hotfix ayrıntılarını doğrudan satıcının rehberliğiyle doğrulamalıdır.