Октябрьский «В тренде VM»: уязвимости Windows и Check Point

На связи Александр Леонов, ведущий эксперт центра безопасности Positive Technologies (PT ESC) и дежурный по самым опасным уязвимостям месяца. Мы с командой аналитиков Positive Technologies регулярно смотрим на поток информации об уязвимостях из самых разных источников: бюллетени безопасности вендоров, соцсети, блоги, телеграм-каналы, репозитории кода, базы уязвимостей и эксплойтов. Из этого многообразия мы стараемся выделять самое важное – трендовые уязвимости, которые уже используются в реальных атаках или с высокой вероятностью будут эксплуатироваться в ближайшее время.

С прошлого дайджеста мы добавили в общий список еще две трендовые уязвимости:

• уязвимость, приводящая к локальному повышению привилегий, в механизме ALPC операционной системы Windows – PT-2026-88151 (CVE-2026-85880);

• уязвимость, приводящая к удаленному выполнению произвольного кода, в шлюзах Check Point Security Gateway и межсетевых экранах Spark Firewall – PT-2026-88979 (CVE-2026-85102).

Начнём с уязвимости в Microsoft Windows.

Уязвимость, приводящая к локальному повышению привилегий, в механизме ALPC операционной системы Windows

💥 PT-2026-88151 (CVE-2026-85880, оценка по CVSS — 7,8, высокий уровень опасности)

ALPC - это внутренний механизм Windows для высокоскоростного обмена сообщениями между процессами, используемый системными компонентами операционной системы. Уязвимость из сентябрьского Microsoft Patch Tuesday. Злоумышленник, способный выполнять код в AppContainer с низким уровнем привилегий, может локально проэксплуатировать эту уязвимость для выхода за пределы песочницы и повышения привилегий в затронутой системе. Дополнительное взаимодействие с пользователем не требуется. В случае успешной эксплуатации уязвимости злоумышленник может получить привилегии SYSTEM. Получив привилегии SYSTEM, злоумышленник может попытаться отключить или обойти антивирусы и другие средства защиты Windows, похитить учётные данные и токены аутентификации, закрепиться в системе и развивать атаку в корпоративной сети, в том числе устанавливая вредоносное ПО.

Признаки эксплуатации: Microsoft отметила CVE-2026-85880 как уязвимость нулевого дня. CISA добавило эту уязвимость в каталог KEV 8 сентября. Исследователи из Proofpoint и Volexity сообщили, что в атаках, зафиксированных с 28 августа до начала сентября, она была частью цепочки BlueMoon, объединяющей три уязвимости: уязвимости удаленного выполнения кода (CVE-2026-85046 и CVE-2026-87491) в JavaScript-движке Chrome V8 и CVE-2026-85880. Первыми были зафиксированы атаки кластера  TA412 (JungleBamboo, APT31, Violet Typhoon), который нацелился на американские некоммерческие организации (НКО), горнодобывающие и сырьевые компании. С 1 сентября исследователи обнаружили активность кластера UTA0560: злоумышленники рассылали фишинговые письма сотрудникам нескольких НКО и распространяли бэкдор GRIMWEDGE. С 2 сентября кластер UNK_LateNight атаковал американские аэрокосмические компании с применением бэкдора ShadowPad, а кластер UNK_DoubleCheck - неназванного вьетнамского производителя. С 3 сентября фиксировались атаки кластера UNK_QuietRacket, нацеленные на государственные, консалтинговые и финансовые организаций Индонезии и Сингапура. В атаках 3-4 сентября кластер UTA0565 использовал те же эксплойты через поддельные веб-сайты.

Публично доступные эксплойты: нет в открытом доступе.

Количество потенциальных жертв: механизм ALPC присутствует в каждой поддерживаемой версии Windows - от рабочих станций до Windows Server. Однако, согласно записи CVE, риску эксплуатации CVE-2026-85880 подвержены только некоторые сборки Windows 10 (1607, 1809, 21H2, 22H2) и Windows Server 2012, 2012 R2, 2016, 2019 и 2022. Windows 11 и Server 2025 в перечне потенциально уязвимых систем не значатся.

Способ устранения уязвимости: установить накопительные обновления Windows, которые представлены на официальном сайте Microsoft. После установки обновлений безопасности потребуется перезагрузка системы.

И закончим уязвимостью в популярных сетевых устройствах.

Уязвимость, приводящая к удаленному выполнению произвольного кода, в шлюзах Check Point Security Gateway и межсетевых экранах Spark Firewall

💥 PT-2026-88979 (CVE-2026-85102, оценка по CVSS — 9,8, критический уровень опасности)

Check Point Quantum Security Gateway - это корпоративный шлюз безопасности и межсетевой экран следующего поколения (NGFW), предназначенный для защиты сетевой инфраструктуры от кибератак и несанкционированного доступа. Он обеспечивает фильтрацию сетевого трафика, обнаружение и предотвращение сетевых атак (IPS), контроль использования приложений и поддержку защищённых VPN-соединений. Некорректная проверка доверия к сертификату X.509 в процессе согласования VPN-соединения (VPN negotiation) на Check Point Quantum Security Gateway может позволить неаутентифицированному удалённому злоумышленнику выполнить произвольный код на шлюзе с привилегиями системного процесса.

Злоумышленник может использовать скомпрометированный шлюз для разведки внутренней сети (сканирования портов и сервисов), перехвата VPN-трафика, кражи учётных данных и конфигурационных файлов, включая сертификаты, ключи IPSec/VPN и учётные записи администраторов, и компрометации VPN-туннелей с филиалами и партнёрами.

Уязвимость также затрагивает устройства Spark Firewall - семейство межсетевых экранов компании Check Point, предназначенных преимущественно для защиты сетей небольших и средних организаций, филиалов и удалённых офисов.

Признаки эксплуатации: с 12 сентября Check Point начала фиксировать активные попытки атак, нацеленных в первую очередь на клиентов, использующих межсетевые экраны нового поколения Check Point Spark Firewall. 22 сентября CISA добавило CVE-2026-85102 в каталог известных эксплуатируемых уязвимостей (KEV).

Публично доступные эксплойты: в открытом доступе опубликован PoC.

Количество потенциальных жертв: по данным Positive Technologies, в интернете доступно около 12 000 шлюзов Check Point с активным VPN-сервисом.

Способ устранения уязвимости, компенсирующие меры: основной способ устранения CVE-2026-85102 - установка обновлений безопасности, выпущенных Check Point 9 сентября. Это можно сделать через механизм автоматического обновления LivePatch (Take 26 для версий R82.10, R82 и R81.20), либо через Jumbo Hotfix Accumulator (начиная с Take 44 для R82.10, Take 126 для R82 , Take 166 для R81.20 и Take 190 для R81.10).

Для продуктов Spark Firewall требуется обновление прошивки до версии R82.00.10 Build 2325 или выше, либо R81.10.17 Build 4968 или выше. Организациям, использующим версии, снятые с поддержки (R80-R81.10 в статусе End of Support), Check Point рекомендует в первую очередь перейти на актуальную поддерживаемую версию, поскольку патчи для них не выпускаются.

Если немедленная установка обновлений невозможна, Check Point рекомендует использовать компенсирующие меры:

• для Site-to-Site VPN рекомендуется отключить неявные (implied) правила VPN и явно разрешить трафик протоколов IKE (через порт UDP:500) и NAT-T (через порт UDP:4500) только с доверенных IP-адресов;

• для Remote Access VPN следует создать явные правила доступа, ограничивающие подключение по портам UDP:500, UDP:4500 и TCP:443 (при необходимости также по порту TCP:80) конкретными диапазонами доверенных IP-адресов.

Однако данные компенсирующие меры применимы только к Site-to-Site VPN и централизованно управляемым межсетевым экранам Spark Firewall. Для Remote Access VPN и локально управляемых межсетевых экранов Spark Firewall единственная эффективная мера, устраняющая CVE-2026-85102, - установка исправлений.

Как защититься

Использование популярных продуктов, содержащих трендовые уязвимости, может поставить под угрозу любую компанию. Такие недостатки безопасности являются наиболее опасными и требуют немедленного исправления. В систему управления уязвимостями MaxPatrol VM информация о подобных угрозах поступает в течение 12 часов с момента их появления, что позволяет вовремя принять меры по устранению наиболее опасных из них и защитить инфраструктуру компании. Но не стоит забывать и об исправлении других уязвимостей, которые также могут нанести непоправимый вред организации.

Узнавать об актуальных недостатках безопасности можно на странице трендовых уязвимостей и портале dbugs, в котором аккумулируются данные об уязвимостях в программном обеспечении и оборудовании производителей со всего мира, а также рекомендации вендоров по устранению пробелов в защите.

На этом всё. Увидимся в новом дайджесте трендовых уязвимостей через месяц.

Александр Леонов

Ведущий эксперт Expert Security Center Positive Technologies