ศูนย์ประสานการรักษาความมั่นคงปลอดภัยระบบคอมพิวเตอร์แห่งชาติ (ThaiCERT) ได้ติดตามสถานการณ์ภัยคุกคามทางไซเบอร์ และพบว่า Check Point ออกประกาศแจ้งเตือนช่องโหว่ด้านความมั่นคงปลอดภัยจำนวน 3 รายการ ซึ่งส่งผลกระทบต่อผลิตภัณฑ์ Security Management, Multi-Domain Management และผลิตภัณฑ์ที่ใช้ระบบปฏิบัติการ Gaia โดยช่องโหว่ที่มีความสำคัญสูงสุดคือ CVE-2026-16232 ซึ่งเป็นช่องโหว่ข้ามการยืนยันตัวตนในกระบวนการเข้าสู่ระบบ SmartConsole และได้รับการยืนยันว่าถูกนำไปใช้โจมตีลูกค้าบางรายแล้ว [1]
ช่องโหว่ดังกล่าวอาจทำให้ผู้โจมตีที่ยังไม่ผ่านการยืนยันตัวตนได้รับ Application Login Token และนำไปใช้เข้าสู่ระบบ SmartConsole ด้วยสิทธิ์ผู้ดูแลระบบเต็มรูปแบบ ส่งผลให้สามารถแก้ไขนโยบายความมั่นคงปลอดภัยและการตั้งค่าของระบบได้ โดยมีความเสี่ยงสูงเป็นพิเศษในระบบที่เปิด Management Server ให้สามารถเข้าถึงได้จากอินเทอร์เน็ต และไม่ได้กำหนดข้อจำกัดของ Trusted Clients ตามหมายเลข IP ที่เชื่อถือได้ [2]
1. รายละเอียดช่องโหว่
1.1 CVE-2026-16232 (CVSS: 9.3) ช่องโหว่นี้เกิดขึ้นในกระบวนการเข้าสู่ระบบ Check Point SmartConsole โดยใช้ Application Token ผู้โจมตีที่ยังไม่ผ่านการยืนยันตัวตนอาจสามารถขอรับ Application Login Token และนำ Token ดังกล่าวไปใช้เข้าสู่ระบบ Security Management Server ผ่าน SmartConsole ด้วยสิทธิ์ผู้ดูแลระบบเต็มรูปแบบได้ หากโจมตีสำเร็จ ผู้โจมตีจะสามารถแก้ไข Security Policy และการกำหนดค่าด้านความมั่นคงปลอดภัยของระบบ ซึ่งอาจส่งผลกระทบต่ออุปกรณ์ Security Gateway และระบบอื่นที่อยู่ภายใต้การบริหารจัดการของ Management Server ได้ [3]
1.2 CVE-2026-62144 (CVSS: 9.3) ช่องโหว่นี้ส่งผลกระทบต่อ Check Point Security Management และ Multi-Domain Security Management โดยผู้โจมตีที่ไม่ผ่านการยืนยันตัวตนอาจสามารถข้ามกลไกการยืนยันตัวตน และสั่งดำเนินการคำสั่งในระดับผู้ดูแลระบบบน Management Server ได้ ผู้โจมตีอาจใช้ความสามารถด้านการบริหารจัดการ เช่น Run Script หรือ Exec Command เพื่อสั่งงานอุปกรณ์ Security Gateway ที่อยู่ภายใต้การควบคุมของ Management Server ส่งผลให้สามารถแก้ไขการตั้งค่า ดำเนินการคำสั่งบนระบบ หรือใช้ Management Server เป็นจุดเชื่อมโยงไปยังอุปกรณ์อื่นภายในหน่วยงานได้ [4]
1.3 CVE-2026-62145 (CVSS: 7.5) ช่องโหว่นี้เกิดขึ้นใน Gaia Portal หรือ GaiaOS WebUI ซึ่งเป็นส่วนติดต่อสำหรับบริหารจัดการระบบปฏิบัติการของผลิตภัณฑ์ Check Point โดยผู้โจมตีที่ผ่านการยืนยันตัวตนและมีสิทธิ์แบบอ่านอย่างเดียวใน Gaia Portal อาจสามารถยกระดับสิทธิ์และสั่งดำเนินการคำสั่งด้วยสิทธิ์ระดับ Root ได้ หากโจมตีสำเร็จ ผู้โจมตีอาจสามารถเปลี่ยนแปลงการตั้งค่าระบบ เข้าถึงข้อมูลสำคัญ หรือติดตั้งกลไกเพื่อคงอยู่ภายในระบบได้ [5]
2. ผลิตภัณฑ์และเวอร์ชันที่ได้รับผลกระทบ
2.1 CVE-2026-16232 และ CVE-2026-62144 ช่องโหว่ส่งผลกระทบต่อผลิตภัณฑ์ต่อไปนี้
– Check Point Security Management
– Check Point Quantum Security Management
– Check Point Multi-Domain Management
– Check Point Multi-Domain Security Management
เวอร์ชันที่ได้รับผลกระทบ ได้แก่
– R82.10 รุ่นก่อนติดตั้ง Jumbo Hotfix Take 36
– R82 รุ่นก่อนติดตั้ง Jumbo Hotfix Take 118
– R81.20 รุ่นก่อนติดตั้ง Jumbo Hotfix Take 158
– R81.10
– R81
– R80.30
– R80.20
– R80.10
– R80
– R77.30
2.2 CVE-2026-62145 ช่องโหว่ส่งผลกระทบต่อผลิตภัณฑ์ที่มี Gaia Portal ได้แก่
– Check Point Firewall หรือ Quantum Security Gateway
– Security Management
– Multi-Domain Management
– Multi-Domain Log Server
เวอร์ชันที่ได้รับผลกระทบ ได้แก่
– R81.10
– R81.20
– R82
– R82.10
3. แนวทางการแก้ไข
3.1 R82.10 ให้อัปเดตเป็น Jumbo Hotfix Take 36 หรือใหม่กว่า [6]
3.2 R82 ให้อัปเดตเป็น Jumbo Hotfix Take 118 หรือใหม่กว่า [7]
3.3 R81.20 ให้อัปเดตเป็น Jumbo Hotfix Take 158 หรือใหม่กว่า [8]
3.4 R81.10 และเวอร์ชันที่เก่ากว่า ควรตรวจสอบสถานะการสนับสนุนและอัปเกรดไปยังเวอร์ชันที่ยังได้รับการสนับสนุน ก่อนติดตั้ง Jumbo Hotfix ล่าสุด
4. หากยังไม่สามารถติดตั้ง Jumbo Hotfix ได้ทันที ควรดำเนินการดังนี้
4.1 จำกัด Trusted Clients หรือ GUI Clients ให้สามารถเชื่อมต่อได้เฉพาะหมายเลข IP หรือเครือข่ายย่อยที่เชื่อถือได้ และไม่ควรกำหนดค่าเป็น Any
4.2 หลีกเลี่ยงการเปิด Management Server ให้สามารถเข้าถึงได้โดยตรงจากอินเทอร์เน็ต
4.3 กำหนด Firewall Policy เพื่ออนุญาตการเข้าถึง Management Server เฉพาะจากหมายเลข IP ของผู้ดูแลระบบหรือเครือข่ายบริหารจัดการที่กำหนดไว้
4.4 ตรวจสอบว่า Implied Rules สำหรับ Control Connections ถูกเปิดใช้งานและกำหนดค่าอย่างเหมาะสม
4.5 ตรวจสอบบัญชีผู้ดูแลระบบ สิทธิ์การเข้าถึง การเปลี่ยนแปลง Security Policy และการติดตั้ง Policy ที่เกิดขึ้นโดยไม่ทราบสาเหตุ
4.6 ตรวจสอบ Log การเข้าสู่ระบบ SmartConsole รวมถึงการออก Application Token หรือ Session ที่มาจากหมายเลข IP ที่ไม่รู้จัก
แหล่งอ้างอิง
[1] https://dg.th/xng4mw3of2
[2] https://dg.th/ltikfqhvy5
[3] https://dg.th/qvl0nir35d
[4] https://dg.th/w3q4cxteo5
[5] https://dg.th/ohi36usqjl
[6] https://dg.th/d3i14fcq96
[7] https://dg.th/d3i14fcq96
[8] https://dg.th/5h2b1gjfdc