🔴 KEV: CVE-2026-93616 — Check Point Multiple Products

🏭 Отрасли РФ: не определено
🗺 MITRE ATT&CK: T1190 — Exploit Public-Facing Application, T1543 — Create or Modify System Process, T1570 — Lateral Tool Transfer, T1195 — Supply Chain Compromise
✔️ Подтверждено источниками: 2
🧪 Правила Suricata: валидатор временно недоступен
🧩 Sigma: ✅ структура правила корректна
📋 Покрытие детекта: IoC ✅ · Suricata ❌ · Sigma ✅ · YARA ❌ · TTP 4

🇷🇺 RU
🧭 Вводные
Check Point осуществляет атаки на критичные компоненты инфраструктуры российских компаний через уязвимость path traversal в Security Management Server. Уязвимость позволяет неаутентифицированному злоумышленнику загружать и исполнять произвольный код на серверах управления безопасностью.

🛡 Куда и как применять
• SIEM: Корреляция попыток доступа к /upload path на Check Point серверах с 40x/50x ответами и последующим исполнением скриптов
• NGFW/прокси: Блокировка трафика к Check Point Management Server портам (22, 443, 18191) с подозрительными POST запросами к path traversal паттернам (../, %2e%2e)
• EDR: Добавить в watchlist процессы исполнения скриптов (python, bash, powershell) запущенные из контекста Check Point сервисов
• DNS RPZ: Блокировка резолвинга support.checkpoint.com и перенаправление на SIEM для логирования попыток обновления
• Threat hunting: Поиск аномальных процессов и сетевых соединений инициированных Check Point сервисами, анализ логов аутентификации на предмет lateral movement

🧪 Перепроверка
В тестовом контуре развернуть Check Point SMgmt версию с уязвимостью, попытаться выполнить path traversal upload через curl с payload'ом, убедиться что скрипт загружается и исполняется. Проверить что SIEM корреляция срабатывает на попытку доступа + исполнение.

— — —
🇬🇧 EN
🧭 Overview
Check Point products are targeted by attackers exploiting path traversal vulnerability in Security Management Server affecting Russian critical infrastructure. The vulnerability allows unauthenticated attackers to upload and execute arbitrary scripts on management servers.

🛡 Where & how to apply
• SIEM: Correlate access attempts to /upload paths on Check Point servers with 40x/50x responses followed by script execution events
• NGFW/proxy: Block traffic to Check Point Management Server ports (22, 443, 18191) containing path traversal patterns (../, %2e%2e) in POST requests
• EDR: Add watchlist entries for script execution processes (python, bash, powershell) spawned from Check Point service contexts
• DNS RPZ: Block resolution of support.checkpoint.com and redirect to SIEM for logging update attempt patterns
• Threat hunting: Search for anomalous processes and network connections initiated by Check Point services; analyze authentication logs for lateral movement indicators

🧪 Re-verification
Deploy vulnerable Check Point SMgmt version in test environment and attempt path traversal upload via curl with test payload to verify script execution. Confirm SIEM correlation triggers on both access attempt and script execution events.


🧬 IoC / Индикаторы (4) — defanged
… +4 — полный список: кнопка «📦 Экспорт» (XLSX / STIX / MISP / Navigator …)

🔗 Источники / Sources: CISA KEV
#без_атрибуции #РФ #IoC
🏷 TLP:CLEAR

⚠️ Данные требуют перепроверки. Индикаторы из открытых источников, возможны ложные срабатывания. Не включайте блокировку на проде без прогона в тестовом контуре.
⚠️ Unverified aggregation. Validate every indicator in a test environment before blocking.

👤 Дмитрий Беляев — Независимый эксперт по кибербезопасности. 11+ лет в ИБ: incident response, SOC, построение процессов защиты в банках и телекоме.
Independent cybersecurity expert. 11+ years in infosec: incident response, SOC, security programs for banks and telecom.
🌐 https://belyaev.expert/

🤖 Belyaev ThreatMap · авто-агент · 23.09.2026 07:00 UTC