CERT Polska w komunikacie z 10 września opisuje dwie luki zdalnego wykonania kodu w produktach firmy Check Point i wskazuje ścieżki aktualizacji. Dla wersji End of Support poprawek nie udostępniono, dlatego plan usunięcia podatności może wymagać migracji oraz decyzji budżetowej zarządu.

Czy polecenie „zainstalować poprawki” wystarczy, jeśli używana wersja nie jest już wspierana? Ostrzeżenie CERT Polska daje konkretny powód, żeby przed wydaniem takiego polecenia sprawdzić status oprogramowania. Z perspektywy 11 września zadaniem odbiorcy jest porównanie własnych urządzeń ze ścieżkami wskazanymi w komunikacie. Zaproponujmy administratorowi prosty podział odpowiedzi: gdzie można potwierdzić aktualizację, gdzie trzeba sprawdzić automatyczny LivePatch, a gdzie potrzebna jest migracja. Przy każdej pozycji poprośmy o podstawę ustalenia. Jeśli wersja lub status wsparcia pozostają nieznane, zapiszmy brak danych i wyznaczmy osobę, która je uzupełni. Dopiero na takim zestawieniu oprzyjmy zakres prac przekazywany zarządowi.

Dwie luki, a ścieżka poprawki zależy od wsparcia

Według komunikatu CERT Polska obie podatności pozwalają na zdalne wykonanie kodu. Opis tej możliwości nie potwierdza włamania w konkretnej organizacji. Nie przypisujmy więc własnym urządzeniom incydentu na podstawie samego ostrzeżenia. Zakres sprawdzenia powinien dotyczyć używanego oprogramowania i dostępnej dla niego drogi usunięcia podatności.

Jak podaje CERT Polska, dla wskazanych wersji dostępny jest LivePatch, a przy włączonej automatycznej instalacji poprawka instaluje się sama. Komunikat wymienia także ścieżki aktualizacji. Administratora poprośmy o wskazanie, która z nich odpowiada używanej wersji, oraz o potwierdzenie wykonania właściwej operacji. Samą informację o dostępności poprawki potraktujmy jako początek weryfikacji.

Dla wersji End of Support CERT Polska zaleca migrację do aktualnego, wspieranego oprogramowania. W zestawieniu urządzeń wydzielmy zatem pozycje wymagające takiej zmiany. Nie wpisujmy przy nich terminu instalacji poprawki, której według komunikatu nie udostępniono. Poprośmy zamiast tego o ustalenie docelowej wersji i zakresu migracji.

Automatyczny LivePatch wymaga potwierdzenia wyniku

Przy LivePatch pytanie o włączenie automatycznej instalacji powinno prowadzić do pytania o jej rezultat. Zaproponujmy zasadę odbioru prac: przy urządzeniu zapiszmy ustaloną konfigurację automatyzacji i potwierdzony stan poprawki. Jeżeli administrator zna tylko ustawienie, pozostawmy wynik instalacji do sprawdzenia. Nie zamieniajmy oczekiwanego działania mechanizmu w deklarację wykonanej aktualizacji.

Przy LivePatch warunkiem zamknięcia zadania powinien być potwierdzony wynik instalacji na wskazanym urządzeniu.

Rozważmy hipotetyczną procedurę, która pozwala zamknąć zgłoszenie po odpowiedzi „aktualizacje są automatyczne”. Przy ostrzeżeniu CERT Polska zapytajmy, czy taka odpowiedź obejmuje używaną wersję oraz tę poprawkę. To propozycja sprawdzenia własnej procedury; komunikat nie dokumentuje zaniedbania administratorów konkretnej firmy. Przed oceną ich pracy poprośmy o ustalenia dotyczące urządzeń.

W raporcie dotyczącym LivePatch rozdzielmy potwierdzone instalacje od pozycji czekających na weryfikację. Przy brakującej odpowiedzi wskażmy wykonawcę i termin jej dostarczenia. Jeśli sprawdzenie wykaże status End of Support, przenieśmy pozycję do planu migracji. Tak ustalony sposób raportowania powinien odpowiadać rozróżnieniu zawartemu w ostrzeżeniu CERT Polska.

End of Support może wymagać zgody na budżet migracji

Dla pozycji oznaczonych End of Support poprośmy zespół techniczny o propozycję migracji wraz z oszacowaniem potrzebnych prac. Zarządowi przedstawmy zakres decyzji: jakich zasobów potrzeba, kto przygotuje zmianę i kiedy będzie można ocenić jej wykonanie. Koszt pozostawmy nieustalony do czasu wyceny własnego środowiska. Komunikat CERT Polska nie podaje kwoty takiej migracji.

Nie zakładajmy również, że zalecenie migracji oprogramowania oznacza konieczność zakupu nowego urządzenia. Dla każdej pozycji End of Support zlećmy ustalenie warunków przejścia na wspieraną wersję. Jeśli z tej oceny wyniknie potrzeba wydatku, wniosek budżetowy powinien wskazywać jego uzasadnienie. Sam brak poprawki nie daje podstaw do opisania kosztu ani czasu prac w konkretnej organizacji.

Dla wersji End of Support zarząd powinien otrzymać plan dojścia do wspieranego oprogramowania wraz z decyzjami potrzebnymi do jego wykonania.

Przy zatwierdzaniu planu migracji rozdzielmy zgodę na rozpoczęcie prac od potwierdzenia ich zakończenia. Wymagajmy, aby raport końcowy odnosił się do docelowej wersji i właściwej ścieżki usunięcia podatności opisanej przez CERT Polska. Dopóki brakuje tych ustaleń, nie oznaczajmy pozycji End of Support jako załatwionej wyłącznie dlatego, że przydzielono budżet.

CERT Polska daje polskim odbiorcom punkt odniesienia

Dla polskiego zarządu komunikat CERT Polska z 10 września jest podstawą do zadania konkretnych pytań zespołowi utrzymującemu urządzenia. Do prośby o status dołączmy właśnie to ostrzeżenie. Oczekujmy odpowiedzi obejmującej używaną wersję, stan wsparcia oraz potwierdzenie aktualizacji albo potrzebę migracji. Ogólne zapewnienie o bieżącym utrzymaniu poprośmy uzupełnić o te ustalenia.

Ostrzeżenie CERT Polska nie określa liczby polskich organizacji korzystających z niewspieranych wersji ani kosztów ich migracji. Nie wyprowadzajmy z niego także twierdzenia o wzroście zagrożenia w ostatnich miesiącach. Dla decyzji dotyczącej własnych urządzeń poprośmy o dane z własnego środowiska. W informacji dla zarządu oznaczmy osobno pozycje, których status nadal wymaga sprawdzenia, zamiast przypisywać im wynik na podstawie samej treści ostrzeżenia.

Co z tym zrobić w poniedziałek

Każdy z poniższych kroków ogranicz do 30 minut przygotowania informacji lub zlecenia. Pełną aktualizację i migrację zaplanuj na podstawie ustaleń administratora; poniedziałkowa lista nie jest powodem do odkładania reakcji na ostrzeżenie CERT Polska.

  1. Zestaw urządzenia ze wsparciem. W dostępnej ewidencji zaznacz wersje objęte ostrzeżeniem CERT Polska i ich status wsparcia. Jeśli danych brakuje, przygotuj listę braków oraz przypisz osobę odpowiedzialną za ich uzupełnienie. Wynikiem kroku ma być zakres sprawdzenia.
  2. Zleć potwierdzenie LivePatch. Dla wybranego urządzenia poproś administratora o ustalenie, czy automatyczna instalacja jest włączona i czy poprawka faktycznie się zainstalowała. Zapisz otrzymane potwierdzenie albo termin odpowiedzi. Przy innej ścieżce aktualizacji poproś o odpowiadający jej wynik.
  3. Przygotuj zlecenie planu migracji. Dla pozycji End of Support wskaż osobę odpowiedzialną za ustalenie docelowej wersji, zakresu prac i ewentualnego budżetu. Zapisz termin przedstawienia propozycji zarządowi. Nie wymagaj zakończenia migracji w czasie przeznaczonym na ten krok.

Brak poprawki dla End of Support powinien uruchamiać decyzję o sposobie przejścia na wspierane oprogramowanie. Od zarządu wymagajmy rozstrzygnięcia potrzebnych zasobów, a od zespołu technicznego potwierdzenia wyniku prac. Tak określmy warunek zamknięcia sprawy opisanej przez CERT Polska.

Źródła

  1. CERT Polska: Krytyczne podatności w produktach firmy Check Point, publikacja: 10 września 2026 r.

Redakcja cyberinsight.pl.