A falha CVE-2026-16232 permite que um invasor remoto sem credenciais obtenha um token de aplicação válido e faça login no SmartConsole da Check Point com privilégios totais de administrador, podendo alterar políticas de segurança e configurações de rede. A vulnerabilidade, classificada com CVSS 9,1 (crítico), já está sendo explorada na natureza e foi adicionada ao catálogo KEV da CISA em 22 de julho de 2026, com prazo de correção em 25 de julho.

O problema afeta o Security Management Server e o Multi-Domain Security Management Server (MDS) — componentes centrais do ecossistema de gestão de firewalls Check Point Quantum. A exploração bem-sucedida dá ao atacante o mesmo nível de controle de um administrador legítimo, sem precisar de senha ou interação do usuário.

A exploração remota bem-sucedida exige acesso de rede ao endereço IP do Management Server e Trusted Clients sem restrições de endereço IP — uma condição observada como padrão em instalações sem hardening adequado.

Como o ataque funciona

A raiz técnica da vulnerabilidade é uma quebra na fronteira de confiança da autenticação de aplicações no SmartConsole. Um servidor vulnerável aceita um distinguished name (DN) de Secure Internal Communication (SIC) fornecido pelo invasor como a identidade de uma aplicação remota, em vez de vincular essa identidade ao certificado do peer autenticado retornado pela plataforma.

A cadeia de ataque começa com o invasor capturando o DN SIC do próprio servidor de gestão durante tráfego de bootstrap não autenticado. Esse DN é então repetido em uma associação de certificado de aplicação forjada, permitindo que o atacante receba um token de aplicação legítimo. Com esse token, o invasor solicita um ticket de single sign-on (SSO) do SmartConsole no serviço legado de gestão e o resgata via CPM SOAP API, obtendo uma sessão completa de SmartConsole com direitos de administrador.

O tráfego de gestão do SmartConsole abrange duas gerações de serviços: o serviço legado FWM/CPMI na porta TCP 18190, responsável pela confiança baseada em SIC, e a stack CPM/DLE na porta TCP 19009, que expõe operações SOAP no caminho /cpmws/. O exploit encadeia ambos os serviços para completar o ataque sem qualquer credencial.

Versões afetadas e correção

A vulnerabilidade afeta todas as versões suportadas do Security Management Server e do Multi-Domain Security Management Server, desde R77.30 (fim de suporte) até as versões atuais R81.20, R82 e R82.10. Versões sem suporte também são vulneráveis, mas não recebem correção do fabricante.

A Check Point corrigiu o problema nos seguintes Jumbo Hotfix Accumulators: R82.10 a partir do Take 36, R82 a partir do Take 118 e R81.20 a partir do Take 158. O patch garante que a autenticação de aplicação remota use o DN do certificado do peer, em vez de um nome fornecido sem confiança pelo cliente, rejeitando associações com identidades SIC divergentes ou ausentes.

Detectando tentativas de exploração

Em sistemas afetados, os logs de auditoria podem registrar entradas com o campo Authentication method: application token, que deve ser tratado como indicador de comprometimento quando aparece fora do contexto de integrações legítimas. A Check Point publicou cinco endereços IP de atacantes conhecidos para consulta direta no SmartConsole.

Indicador de comprometimento Localização no SmartConsole
IPs de atacante (151.241.99.207, 151.241.99.233, 158.62.198.182, 192.142.10.99, 139.28.37.250) Logs & Monitor > Logs & Events (busca por src/dst)
Authentication method: application token Logs & Monitor > Audit Logs View
Alterações não autorizadas em política Logs & Monitor > Audit Logs View

Organizações que executam servidores de gestão expostos à internet enfrentam risco elevado até que apliquem o patch e restrinjam o acesso ao plano de gestão. A CISA determinou prazo de remediação de três dias após a inclusão no KEV, refletindo a gravidade do risco.

Ações imediatas de proteção

A correção prioritária é aplicar o Jumbo Hotfix Accumulator correspondente à versão instalada. Enquanto a atualização não é concluída, a restrição de acesso ao plano de gestão reduz drasticamente a superfície de ataque.

  1. Restringir Trusted Clients: em SmartConsole, vá a Manage & Settings > Permissions & Administrators > Trusted Clients e limite os clientes GUI a endereços IP ou sub-redes confiáveis. Nunca use Any como tipo de cliente.
  2. Proteger o acesso de gestão com firewall: restrinja o acesso ao Management Server a IPs confiáveis e verifique se as regras implícitas para conexões de controle estão ativas.
  3. Aplicar o Jumbo Hotfix: instale o Take 36 ou superior (R82.10), Take 118 ou superior (R82) ou Take 158 ou superior (R81.20) imediatamente.
  4. Revisar logs de auditoria: busque por autenticações via application token e pelos IPs de atacante conhecidos listados acima.
  5. Seguir o guia de hardening: aplique as práticas recomendadas no Check Point Hardening Best Practices Guide para reduzir a exposição do plano de gestão.

A vulnerabilidade compartilha contexto com outras falhas de gestão ativamente exploradas em 2026, como o CVE-2026-58644 no SharePoint e o zero-day no PeopleSoft, ambos adicionados ao KEV da CISA com prazos curtos de remediação.

Fontes