CVE-2026-93616: Check Point yönetim sunucularında kimlik doğrulaması gerektirmeyen path traversal açığı aktif olarak sömürülüyor

Ne oldu

CVE-2026-93616 olarak takip edilen bir path traversal açığı, çok sayıda Check Point yönetim ve loglama ürününü etkiliyor ve sahadaki saldırılarda sömürülüyor. Açığa ilişkin dev.to analizine göre, CVSS v3 altında 9.8 puanıyla Critical (Kritik) düzeyinde derecelendirilmiş ve CWE-22 olarak sınıflandırılmış. CISA, aktif saldırı kanıtlarına dayanarak bu hatayı 22 Eylül 2026'da Known Exploited Vulnerabilities kataloğuna ekledi; Check Point ise müşterlerinin küçük bir bölümünün etkilendiğini doğruladı.

Saldırı nasıl işliyor

dev.to yazısında alıntılandığı şekliyle CISA, bu açığın kimlik doğrulaması yapılmamış bir saldırganın keyfi script'ler yükleyip çalıştırmasına imkân verdiğini belirtiyor. Path traversal zafiyeti, yüklenen bir dosyanın düşmesi gereken dizinden kaçmasını sağlıyor; bunun ardından sunucu dosyayı çalıştırıyor.

Sömürünün gerçekleşmesi tek bir koşula bağlı: etkilenen bir build'de savunmasız hizmetin TCP 19009 portundan erişilebilir olması gerekiyor. Hiçbir kimlik bilgisi gerekmiyor. dev.to makalesine göre gözlemlenen saldırı dizilimi, doğrudan o porta bağlantı yapılması ve ardından yüklenen dosyanın hedeflenen konumdan kaçmasını sağlayan özel hazırlanmış bir yükleme. Herkese açık bir proof-of-concept henüz doğrulanmadı, ancak saha sömürüsü hem üretici hem de CISA tarafından teyit edildi; yazar, bunun tek başına önceliklendirme için yeterli olması gerektiğini savunuyor.

Hangi ürünler ve build'ler etkileniyor

dev.to analizine göre etkilenen ürün seti Check Point Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server ve SmartEvent'i kapsıyor.

Bildirilen savunmasız sürümler arasında Jumbo Hotfix içermeyen R82.20, Jumbo Hotfix Take 44 ve altını kullanan R82.10, Jumbo Hotfix Take 126 ve altını kullanan R82, Jumbo Hotfix Take 166 ve altını kullanan R81.20 ile desteği sona eren ve Jumbo Hotfix Take 190 ve altını kullanan R81.10 yer alıyor. Ayrıca R81 ve daha eski, R80'den itibaren desteği sona eren sürümlerin de savunmasız olduğu bildiriliyor. Smart-1 Cloud ve Check Point Firewall Appliances'ın etkilenmediği belirtiliyor.

Etkilenme durumunun yalnızca sürüm ailesine değil, aynı zamanda hotfix take seviyesine bağlı olması nedeniyle analiz, basit bir sürüm kontrolü yerine build düzeyinde doğrulama yapılması gerektiğini vurguluyor.

İnternet geneli sayıların okunması

Analizde alıntulanan ZoomEye verisi, Check Point parmak iziyle eşleşen 1.068.268 internete açık örnek gösteriyor ve CVE-2026-93616 tanımlayıcısıyla eşleşen sıfır örnek görüyor. dev.to makalesi bu rakamların kolayca yanlış yorumlanabileceğini savunuyor. Büyük sayı, bu sistemlerin hangi build'leri çalıştırdığı veya yönetim arayüzlerinin erişilebilir olup olmadığı konusunda hiçbir şey söylemiyor; sıfır ise savunmasız sistemlerin yokluğunu değil, yeni CVE tanımlayıcısı için dizinleme kapsamındaki bir boşluğu yansıtıyor. Asıl önemli kitle, TCP 19009 portundan yanıt veren yönetim arayüzlerine sahip alt küme; bu da toplu tarama sayılarından çıkarılamaz, yalnızca doğrudan testle belirlenebilir.

Yöneticiler şimdi ne yapmalı

Makalenin yazıldığı sırada tüm etkilenen sürümleri kapsayan nihai bir yama mevcut değildi ve LivePatch Take 28 ile Take 29 açığı çözmüyor.

Önerilen risk azaltma adımları, yönetim arayüzünü bir security gateway arkasına yerleştirmek, TCP 19009 portunu yalnızca güvenilir IP adreslerine açmak ve sürüme özel yama durumunu takip etmek için Check Point'in resmi danışma belgesi SK1000171'i izleyerek, üretici güncellemeleri yayımlandıkça uygulamaktır.

Doğrulama, yamalama kadar önemli. Harici bir bakış noktasından hiçbir yönetim veya log sunucusu arayüzünün 19009 portundan yanıt vermediğini teyit edin ve yönetim sunucusu loglarında beklenmeyen yükleme veya script çalıştırma etkinliği olup olmadığını inceleyin. Sömürü kimlik doğrulaması gerektirmediği için, yalnızca kimlik doğrulama denetimi yapılan bir inceleme bir girişimi ortaya çıkaramayabilir.

Neden önemli

Bu bir uç servis hatası değil. Yönetim sunucusunda başarılı bir script çalıştırma, saldırganı güvenlik duvarının kontrol düzleminin içine yerleştirir; burada güvenlik politikası yeniden yazılabilir, yapılandırma verileri okunabilir ve güvenilir yönetim kanalı yönetilen cihazlara erişmek için kullanılabilir. Loglama ve SmartEvent bileşenlerinin ele geçirilmesi ise kurumların tespit ve inceleme için güvendiği kayıtları saldırganın eline verir; hem savunma duruşunu hem de bir olayı yeniden yapılandırma yeteneğini zedeler. Aktif sömürü teyit edilmiş, açık CISA kataloğunda yer almış, tam kapsamlı bir yama henüz yok ve kimlik doğrulaması gerekmiyor; pratik tepki bu nedenle acil olmalı: build'leri tam olarak doğrulayın, 19009 portunu güvenilmeyen ağlara kapatın ve yönetim loglarında yükleme etkinliği izlerini arayın.