Ir para conteúdo

Alerta de Vulnerabilidade - Check Point Security Management

27 Jul 2026

Alerta de Vulnerabilidade - Check Point Security Management

TIPO
Vulnerabilidade
SISTEMAS AFETADOS
Check Point Security Management
ECOSSISTEMA
Outro
CVSS v3.1 - Resumo Técnico CVSS: 9.1 / 10 - Crítico
CVE CVE-2026-16232
Vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N
Vetor de Ataque Rede Explorável remotamente através da rede
Complexidade Baixa Baixa complexidade de exploração
Privilégios Nenhum Sem autenticação
Interação Nenhuma Não requer intervenção do utilizador
Âmbito Inalterado O impacto permanece no âmbito de segurança do componente vulnerável
Impacto na Confidencialidade Alto Impacto elevado na confidencialidade
Impacto na Integridade Alto Impacto elevado na integridade
Impacto na Disponibilidade Nenhum Sem impacto direto na disponibilidade
Resumo Vulnerabilidade de severidade crítica (CVSS 9.1), identificada como CVE-2026-16232, de bypass de autenticação no processo de login do Check Point SmartConsole. Um atacante remoto e não autenticado pode obter um token de login de aplicação e utilizá-lo para se autenticar com privilégios administrativos totais, podendo alterar políticas e configurações de segurança. A exploração remota requer acesso pela Internet ao endereço IP do Management Server e uma configuração que não restrinja os Trusted Clients.

Descrição
Vulnerabilidade de authentication bypass no processo de login do SmartConsole (CWE-287), identificada como CVE-2026-16232/EUVD-2026-47700, no Check Point Security Management Server e Multi-Domain Security Management Server (MDS) [1][2][3]. São afetadas as seguintes versões [1][3]:
  • Versões suportadas: R81.20, R82 e R82.10, anteriores ao Jumbo Hotfix corretivo;
  • Versões em end-of-service, sem correção disponível: R77.30, R80, R80.10, R80.20, R80.30, R81 e R81.10.
A correção consta do advisory sk185169 e está disponível no Jumbo Hotfix Accumulator, a partir do Take 158 no R81.20, do Take 118 no R82 e do Take 36 no R82.10. As versões em end-of-service devem ser migradas para uma versão suportada e corrigida [3]. Os Security Gateways não são diretamente afetados.

Impacto
Um atacante remoto e não autenticado pode obter um application login token e utilizá-lo para autenticar via SmartConsole com privilégios de administrador, sem interação do utilizador. A exploração depende de duas pré-condições cumulativas: acesso via Internet ao IP do Management Server e ausência de restrições nos Trusted Clients (GUI clients) [3].

O comprometimento do Management Server permite alterar a security policy e a security configuration e assumir o controlo das políticas aplicadas aos gateways geridos. 

Resolução
Recomenda-se a atualização para as versões corrigidas [3]:
  • R81.20: Jumbo Hotfix Accumulator Take 158 ou superior;
  • R82: Jumbo Hotfix Accumulator Take 118 ou superior;
  • R82.10: Jumbo Hotfix Accumulator Take 36 ou superior.
As versões em end-of-service devem ser migradas para uma versão suportada e corrigida.

Medidas adicionais recomendadas [3]:
  • Restringir os Trusted Clients (GUI clients) a IPs ou redes de confiança, não utilizando o tipo "Any";
  • Proteger o acesso ao Management Server com firewall e verificar que as implied rules para control connections estão ativas;
  • Aplicar o Check Point Hardening Best Practices Guide;
  • Pesquisar nos logs ligações com os IPs de atacante conhecidos: 151.241.99.207, 151.241.99.233, 158.62.198.182, 192.142.10.99 e 139.28.37.250;
  • Pesquisar nos audit logs autenticações com o método "application token";
  • Investigar sinais de comprometimento anterior, dado que a aplicação do hotfix não mitiga um acesso já obtido, utilizando as pesquisas de deteção indicadas.
Referências
[1] - https://nvd.nist.gov/vuln/detail/CVE-2026-16232
[2] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-47700
[3] - https://support.checkpoint.com/results/sk/sk185169
Última atualização em 07-09-2022