Check Pointの管理サーバーに深刻なゼロデイ脆弱性、標的型攻撃での悪用が判明
要点
- Check Pointのセキュリティ管理サーバーに、未認証のままスクリプトを実行できる深刻なゼロデイ脆弱性（CVE-2026-93616）が存在することが明らかになった。
- 本脆弱性は2026年7月の標的型攻撃で実際に悪用されており、Check Pointは9月22日に修正プログラムを公開した。
- 直近の9月中旬に提供された修正を適用済みの環境であっても、今回の脆弱性には依然として影響を受けるため注意が必要となる。
- あわせて同社は、9月9日に対処したVPN関連の脆弱性（CVE-2026-85102）について、中小企業向けファイアウォールを狙った悪用試行が9月12日以降に確認されたと発表した。
セキュリティ大手のCheck Point（チェック・ポイント）は2026年9月22日、同社の管理サーバー製品「Security Management Server」に存在するゼロデイ脆弱性（CVE-2026-93616）が、過去の標的型攻撃で悪用されていたことを公表した。
本脆弱性はCVSSスコアで9.8と極めて深刻なレベルに分類されており、同社は修正プログラムを提供するとともに、過去の侵害痕跡の調査を呼びかけている。
また同社は、9月上旬に修正プログラムを公開した別のVPN脆弱性についても、中小企業向け製品を標的とした攻撃の試行が新たに観測されたことを明らかにした。
認証不要でスクリプト実行が可能なゼロデイ脆弱性の詳細
今回公表された「CVE-2026-93616」は、管理サーバーのWebサービスにおけるパストラバーサル（意図しないファイルやフォルダへのアクセスを許してしまう不具合）の欠陥に起因するものだ。
この脆弱性が悪用されると、Webサービスにアクセス可能な攻撃者によって、ログイン認証を経ることなくサーバー上にスクリプトをアップロードされ、そのまま実行される恐れがある。本製品は傘下のCheck Pointゲートウェイにおけるファイアウォールポリシーなどを一元管理する中核コンポーネントであるため、影響度は大きい。
Check Pointのアドバイザリによると、2026年7月23日に発生した少数の標的型攻撃において、この未知の欠陥が悪用されていたことが確認されたという。ただし、攻撃を仕掛けた主体の素性や具体的な攻撃対象、侵入後に実行された操作の詳細については明らかにされていない。
影響を受けるバージョンとパッチ適用の注意点
本脆弱性は、サポート終了（EoS）を迎えている古いリリースを含め、極めて広範囲のバージョンに影響が及ぶ。CVEレコードに記載された対象バージョンは以下の通りである。
- R82.20（Jumbo Hotfix未適用。なおCheck Pointのアドバイザリでは条件なしでR82.20が対象と記載）
- R82.10（Jumbo Hotfix Take 44以下）
- R82（Jumbo Hotfix Take 126以下）
- R81.20（Jumbo Hotfix Take 166以下）
- R81.10（Jumbo Hotfix Take 190以下／サポート終了）
- R81、R80.40、R80.30、R80.20、R80.10、R80（いずれもサポート終了）
管理者が留意すべき点として、直近に公開された修正パッチとの関係が挙げられる。
同社は9月16日にも管理サーバーの別脆弱性（CVE-2026-91843）に向けて緊急のLivePatch（Take 28、R82.20向けはTake 29）を配信しているが、フランスのCERT Santéがまとめた情報によると、その更新では今回のCVE-2026-93616は修正されない。
また、9月9日に修正されたVPN証明書に関する脆弱性（CVE-2026-85103）と比較した場合、今回の脆弱性の対象となるTake番号は1つ上に設定されている。そのため、9月上旬の修正を適用しただけの環境であっても、今回の脆弱性には無防備な状態が続いていることになる。
修正ビルドや侵害調査の手順は、サポート記事「sk1000171」で提供されている。Check Pointは、修正プログラムを適用しただけでは過去に侵入を受けたかどうかの判別はできないとして、提供されている侵害指標（IoC）やハンティングガイドを活用した確認作業を行うよう強く求めている。
中小企業向け「Spark」を狙うVPN脆弱性の悪用試行も確認
Check Pointは併せて、2026年9月9日に修正を公開していた別の脆弱性「CVE-2026-85102」について、9月12日以降に悪用を試みる動きが発生していることを報告した。
この脆弱性は、VPN接続確立時における証明書の検証処理の不備に起因しており、未認証の第三者がゲートウェイ上でコードを実行できる可能性があるものだ。
影響対象は「Security Gateway」および中小企業向けファイアウォールシリーズである「Spark」で、集中管理・ローカル管理を問わずR81からR82.10（サポート終了版含む）に及ぶ。オランダ国立サイバーセキュリティセンター（NCSC）によれば、拠点間VPN（Site-to-Site VPN）またはリモートアクセスVPN（Remote Access VPN）を利用している場合に本脆弱性が該当するという。
9月9日の修正公開時点では悪用の証拠は確認されていなかったが、その後Spark製品を利用する顧客を標的とした攻撃試行が観測されるようになった。
攻撃にはVPNサービスやプロキシといった匿名化インフラが使われており、接続時には以下のようなサブジェクトを持つ証明書が悪用されていたという（これ以外のサブジェクトが使われている可能性もある）。
CN=vpn,OU=users,O=globalCN=vpn-user,OU=users,O=globalCN=vpnuser,OU=users,O=global
こちらの脆弱性に関する修正および詳細情報は、同社のサポート記事「sk1000117」にて案内されている。