先說結論：維運 Check Point Security Management、Multi-Domain Management 或相關日誌管理伺服器的團隊，應儘速核對 CVE-2026-93616。Check Point 在 2026 年 9 月 22 日公告，管理網頁服務的路徑遍歷問題可能讓未登入者執行腳本，並表示已見少量具目標性的利用；CISA 同日收錄 KEV。這類伺服器負責集中管理安全政策或日誌，和前一篇 VPN 閘道憑證弱點是不同事件。本文於 10 月 4 日重新查核兩個官方來源，整理受影響分支、修補與紀錄保全，同時避免宣稱每個管理站都已受害。
背景與前因：安全管理伺服器通常保存多台閘道的政策、物件與事件紀錄，其安全性會影響後續設定與調查。Check Point 的原廠警示同時提到 VPN 閘道 CVE-2026-85102，但 CVE-2026-93616 的主要範圍是 Security Management 及相關管理產品。CISA KEV 的收錄強調這不是單純的假設性弱點；然而『已知利用』描述全球證據，不會替個別企業判定是否被攻破。發布補刊時需把九月二十二日的原事件日期與十月四日的來源查核日期清楚分開。
原因與前置條件：Check Point 說問題發生在管理網頁服務，屬於未驗證前即可觸發的路徑遍歷；路徑遍歷是請求超出原本允許的檔案位置。原廠描述它可能造成任意路徑的腳本執行與 Java 類別載入，CISA 則將它記錄為可讓未登入者上傳並執行腳本的弱點。這是管理伺服器層級的高嚴重風險，不能誤寫成所有防火牆轉送封包時都會出錯。本文不提供路徑字串或操作細節，現場應以官方修補與授權鑑識為主。
影響範圍：Check Point 公告列出 Security Management、Multi-Domain Security Management、Log Server、Multi-Domain Log Server 與 SmartEvent 等產品。原廠九月警示提供多個 R81、R82 系列及其 Jumbo Hotfix 範圍，並提醒特定 LivePatch Take 不能當成已修補證據。不同產品和支援狀態的更新方式不一樣，管理者要依原廠最新安全文件確認自己的分支及修補號。不能把 VPN 閘道 CVE-2026-85102 的補丁直接視為管理伺服器弱點的修復，也不能只看產品名稱而忽略實際角色。
這個事件至少有兩個需要分開閱讀的官方時間點。Canadian Centre for Cyber Security 在 2026-09-22 公開與 CVE-2026-93616 相關的產品資訊；CISA 於 2026-09-22 將同一編號收錄於已知遭利用漏洞目錄。後者又稱 KEV，是政府用來標示已有利用證據、應提高處置優先級的公開清單。收錄日期不等於漏洞首次出現，也不會替任何單一單位證明資產已被攻破。本文在 2026-10-04 重新取得兩份來源，將原始事件與本次查核日期分開標示。
風險判斷應回到具體產品與部署條件。官方來源沒有指出任何特定讀者的管理伺服器已被攻破，也沒有說所有 Check Point VPN 閘道等同受此管理弱點影響。即使漏洞已列入 KEV，也不能把全球的利用證據直接寫成讀者所在環境的事件報告；相反地，沒有看到本地告警同樣不足以保證從未有人嘗試存取。應先確認自己是否真正使用 Check Point Security Management 與相關日誌管理伺服器，再把版本、可達性、服務角色和可用的紀錄放在同一個判斷框架內，避免只憑產品名稱或嚴重度分數作結論。
你可以怎麼做：先建立所有管理與日誌伺服器的清單，記錄版本、Jumbo Hotfix Take、管理網頁介面的可達範圍與是否有外部維運入口。依 Check Point 官方版本對照安排修補，更新後讀回實際修補號並測試政策管理、事件查詢和必要的日誌流。若懷疑已有利用，先保留管理伺服器、反向代理、網路與身分驗證紀錄，再讓授權應變人員判斷是否需要重建或輪替信任材料。縮小管理介面可達網段可降低暴露，但不能代替正式更新。
盤點時可以把每一個管理與日誌伺服器寫成可追蹤的一列：產品與型號、目前版本、部署位置、管理責任人、對外或對內的可達性、資料最後確認時間，以及是否另有備援、測試或長期離線的副本。集中管理平台的清單可能漏掉尚未回報的設備，資產標籤也可能與實際運行版本不同；因此重要節點應由現場或受信任的管理介面再核對。把例外與期限記在同一份紀錄，比口頭說『都已檢查』更能支援後續複查。
修補完成的判斷不能只停在工單或下載紀錄。安排管理平台安全修補之前，先按既有維運程序保存必要設定、確認支援與相容性，並準備回復方案；完成後從實際提供服務的節點讀取版本或修補狀態，測試最重要的正常工作流程。若同一服務有多個節點，應逐一驗證，避免流量切換後又落回未更新的副本。原廠日後可能更改修補路徑，本文記錄的是本次查核時可取得的官方資訊，更新工作仍應以最新公告為準。
事件應變和版本更新雖然相關，卻不是同一個檢查。版本落後足以支持儘快修補，未必證明曾遭利用；完成更新降低後續暴露，也不能倒推過去絕無異常。若既有監控出現可疑跡象，應保存原始日誌、時間線及必要的組態差異，交由有權限的資安或維運人員依組織流程判讀。公開文章不應包含任何真實憑證、個資、內部位址或可操作的利用步驟，以免在通報風險時增加新的暴露。
原廠說觀察到的是少量精準利用，不能把這句話改寫成所有客戶大規模失陷。管理伺服器一旦出現異常，調查不能只看單一網站存取紀錄；政策發布、管理員操作與下游閘道狀態可能提供不同時間點的證據。若發現不尋常的腳本或設定變更，先保持現場資料，避免在未保存紀錄前直接清除或覆寫。反之，沒有公開指標命中也不能完全排除事件；最可靠的可驗證步驟仍是分支修補、權限檢查及與外部紀錄交叉核對。
仍須由使用單位自行回答的問題是：目前有多少管理與日誌伺服器、哪些仍在受影響版本、管理平台安全修補是否覆蓋正式與備援環境，以及保留的紀錄能否支持事件調查。Canadian Centre for Cyber Security 與 CISA 的公開資料提供產品界線和優先處置訊號，卻不能替每個現場完成資產盤點。若無法取得相應修補或環境已停止安全支援，應向供應商確認替代方案並記錄風險處置，不把臨時隔離措施描述成漏洞已經修復。
這篇補刊聚焦 CVE-2026-93616，原廠事件日期為 2026-09-22，CISA KEV 收錄日為 2026-09-22，兩個官方來源在 2026-10-04 重新查核。可交付的工作是確認 Check Point Security Management 與相關日誌管理伺服器 的實際部署範圍、按原廠指引完成管理平台安全修補、回讀結果並追蹤例外。公開公告支持修補優先級，並不等於任一特定讀者已遭入侵或資料外洩；最終影響仍須由現場證據和專業調查判定。
官方來源：
- Check Point security advisory (AV26-902) – Update 2（Canadian Centre for Cyber Security）
- Known Exploited Vulnerabilities Catalog — CVE-2026-93616（CISA）
這篇觀察對你有幫助嗎？
支持 Darknoted 持續維護隔離研究環境、資料查核與內容更新。
了解如何支持本站更新紀錄
：完成公開內容與 metadata 更新。