Alerta de Vulnerabilidade - Check Point Quantum Security Management

Vulnerabilidade de path traversal (CWE-22) no Check Point Quantum Security Management, com o identificador CVE-2026-93616/EUVD-2026-84375 [1][3][4]. O Security Management é a plataforma de gestão centralizada das políticas das firewalls Check Point. O serviço web de gestão não limita corretamente os caminhos que um pedido pode alcançar; combinando o path traversal com o tratamento de upload de ficheiros, um atacante remoto não autenticado coloca e executa scripts arbitrários no servidor, incluindo o carregamento de uma classe Java arbitrária [1][2].

A Check Point confirma exploração ativa, com um conjunto limitado de ataques direcionados observados a 23 de julho de 2026, antes da divulgação [2].

São afetados o Security Management Server, o Multi-Domain Security Management Server, o Log Server, o Multi-Domain Log Server e o SmartEvent, nas seguintes versões [1][3]:

• R82.20 sem Jumbo Hotfix
• R82.10 com Jumbo Hotfix Take 44 ou anterior
• R82 com Jumbo Hotfix Take 126 ou anterior
• R81.20 com Jumbo Hotfix Take 166 ou anterior
• R81.10 com Jumbo Hotfix Take 190 ou anterior (fim de suporte)
• R81, R80.40, R80.30, R80.20, R80.10 e R80 (fim de suporte)

O Smart-1 Cloud, já corrigido pela Check Point, os Firewall Appliances e o Spark Firewall não são afetados por esta vulnerabilidade [1].

Um atacante remoto não autenticado, sem interação do utilizador, que alcance o serviço web de gestão, coloca e executa scripts arbitrários no servidor de gestão [1][2].

Como este servidor detém o plano de controlo das firewalls geridas, o seu comprometimento permite a leitura e manipulação de configurações e credenciais, a alteração de políticas de segurança e o movimento lateral para as gateways geridas [1].

Recomenda-se a instalação do hotfix indicado no sk1000171 em todos os servidores de gestão afetados; para o R82.20 está disponível um Security Hotfix [1].

Medidas adicionais de mitigação e deteção:

• O LivePatch não corrige esta vulnerabilidade; é necessário instalar o hotfix do sk1000171, não bastando as atualizações aplicadas por LivePatch [5].
• A correção do CVE-2026-85103 não cobre esta vulnerabilidade; nas ramificações R82.10, R82 e R81.20 é necessário um Jumbo Hotfix mais recente do que o que resolvia essa [5].
• Confirmar a release e o Jumbo Hotfix Take de cada servidor contra a lista de versões afetadas e aplicar o build corrigido indicado no sk1000171 [1].
• Restringir o acesso ao serviço web de gestão a endereços IP de administração de confiança, colocar o servidor atrás de uma firewall e não expor o acesso de gestão diretamente à Internet [1].
• Aplicar a orientação de hunting e os indicadores de comprometimento do sk1000171 para procurar sinais de ataque; a instalação do hotfix não revela se o servidor foi atacado antes [1][5].
• As ramificações em fim de suporte (R81.10 e anteriores) requerem contacto com o suporte da Check Point para a correção e priorização da migração para uma versão suportada [1].

[1] - https://support.checkpoint.com/results/sk/sk1000171
[2] - https://blog.checkpoint.com/security/security-advisory-action-required-active-exploitation-of-cve-2026-85102-and-a-management-pre-authentication-vulnerability-cve-2026-93616
[3] - https://www.cve.org/CVERecord?id=CVE-2026-93616
[4] - https://euvd.enisa.europa.eu/vulnerability/EUVD-2026-84375
[5] - https://thehackernews.com/2026/09/check-point-warns-of-management-server.html