CISA מוסיפה לקטלוג הפגיעויות המנוצלות הידועות שלה פגיעויות ב־Check Point וב־UnrealIRCd

הסוכנות האמריקאית לאבטחת סייבר ותשתיות (CISA) הוסיפה לקטלוג הפגיעויות המנוצלות הידועות (KEV) שלה את CVE-2026-114713, פגיעות הזרקת פקודות ב־UnrealIRCd, ואת CVE-2026-123039, פגיעות להסלמת הרשאות מקומית במוצרי Check Point Security Gateways ו־Security Management. ציוני CVSS הם 8.6 לפגיעות ב־UnrealIRCd ו־7.8 לפגיעות ב־Check Point. מתחזק UnrealIRCd אישר כי תוקפים כבר ניסו לנצל את הפגיעות זמן קצר לאחר חשיפתה, ואף קבוצת איום מסוימת לא זוהתה בפומבי כאחראית לניסיונות אלה.

לפי Check Point Research, כפי שדווח ב־Security Affairs, שחקני איום מנצלים באופן פעיל את CVE-2026-123039 בתקיפות נגד שערים של Check Point שלא עודכנו. התוקפים משיגים תחילה גישה ראשונית דרך הפורטל Mobile Access באמצעות ניצול פגיעויות PHP2Shell (CVE-2026-109618 ו־CVE-2026-109619), ולאחר מכן משתמשים ב־CVE-2026-123039 כדי להסלים הרשאות ל־root. הקמפיין תקף בתחילה ארגונים ישראליים ב־30 באוקטובר 2026, וגל שני ב־2 בנובמבר התרחב לארגונים במדינות ובמגזרים שונים. Check Point מציינת כי לנוזקה יש מאפיינים משותפים עם PhiliKit, שקושרה בעבר לקבוצה UNC5221 הקשורה לסין, אך הראיות אינן מספיקות כדי לייחס את הקמפיין כולו לקבוצה זו.

במסגרת ההנחיה התפעולית המחייבת (BOD) 22-01, סוכנויות הזרוע המבצעת האזרחית הפדרלית (FCEB) חייבות לטפל בפגיעויות הרשומות עד מועד היעד, ש־CISA קבעה ל־16 בנובמבר 2026.

למה זה חשוב ארגונים שמפעילים שערים של Check Point או שרתי UnrealIRCd צריכים לבדוק אם עודכנו ולסקור את הלוגים שלהם לאיתור הפעילות שתיארה Check Point Research, ובהם webshells, דלת אחורית TSGA ומחק destroy_v6 במארחי VMware ESXi. שרשרת התקיפה מתחילה בפגיעויות PHP2Shell, ולכן תיקון פגיעות הסלמת ההרשאות בלבד עשוי שלא לסגור את החשיפה. מכיוון שהייחוס נותר לא ודאי, כדאי למגינים להתייחס לקמפיין כבלתי פתור ולא כמקושר לשחקן מוכר.