A CISA incluiu a vulnerabilidade CVE-2026-16232 no catálogo KEV em 22 de julho de 2026, com prazo de correção em 25 de julho para órgãos federais civis dos Estados Unidos. A inclusão foi baseada em evidência de exploração ativa, dando apenas três dias para responder. A falha é uma autenticação imprópria no login do SmartConsole da Check Point e está em exploração ativa contra um pequeno número de clientes, segundo o fabricante. Um invasor remoto e não autenticado consegue obter um token de aplicação, autenticar com privilégios administrativos totais e alterar políticas e configurações de segurança do ambiente gerenciado. O caso guarda semelhança com a onda de autenticação forjada em VPN da Palo Alto: ambos expõem consoles de infraestrutura de rede crítica.

Como o ataque acontece

O problema afeta o login do SmartConsole, o console administrativo usado para gerenciar Security Management Server e Multi-Domain Security Management, o MDS. A exploração remota bem-sucedida exige acesso à internet ao endereço IP do Management Server e ausência de restrições em Trusted Clients, os clientes GUI. O token de aplicação é um mecanismo de autenticação destinado a integrações programáticas; o defeito permite que um atacante o gere sem autorização e o apresente como se fosse legítimo. Servidores de gestão expostos e com clientes confiáveis definidos como “Any” são os alvos mais viáveis. A vulnerabilidade recebeu CVSS 9,3 na avaliação do fabricante e 9,1 no cálculo da CISA, ambas na faixa crítica, com vetor remoto, baixa complexidade e sem necessidade de privilégios ou interação do usuário. A Check Point classificou o alerta como High e confirma que já tinha conhecimento da exploração ao divulgar a correção.

Produtos e versões afetados

A falha atinge a gestão centralizada da Check Point em faixa ampla de versões. A faixa de versões afetadas vai de R77.30 até R82.10, nos produtos Security Management e Multi-Domain Management.

Produto Versão afetada Correção (Jumbo Hotfix)
Security Management e MDS R82.10 Take 36 ou superior
Security Management e MDS R82 Take 118 ou superior
Security Management e MDS R81.20 Take 158 ou superior
Security Management e MDS R81.10 a R77.30 Sem correção especificada

Para R81.10 e versões mais antigas não há correção especificada, o que obriga mitigação imediata de restrição de acesso. A correção está incluída nos Jumbo Hotfix Accumulators de R82.10 a partir do Take 36, de R82 a partir do Take 118 e de R81.20 a partir do Take 158. Ambientes em versões de fim de suporte, como R77.30 e R80, ficam sem caminho de atualização direto e devem priorizar o isolamento do servidor de gestão.

Indicadores de comprometimento

A Check Point publicou endereços IP associados à exploração observada de CVE-2026-16232. A presença desses indicadores deve motivar investigação, mas a ausência deles não garante ambiente limpo, pois outros endereços podem existir. Os IP divulgados são:

  • 151.241.99.207
  • 151.241.99.233
  • 158.62.198.182
  • 192.142.10.99
  • 139.28.37.250
  • 194.213.18.137

Para caçar sinais, abra Logs & Monitor no SmartConsole e filtre tráfego com origem ou destino nesses endereços. Na visão de Audit Logs, a busca pela consulta “Authentication method: application token” identifica autenticações suspeitas via token de aplicação. Recomenda-se revisar também atividade de administradores, SmartConsole, API e tokens de aplicação nos logs, além das conexões com os endereços listados.

O que auditar primeiro

Antes de aplicar o hotfix, mapeie o inventário de gestão exposta. Identifique todos os Security Management e Multi-Domain Management acessíveis pela internet e confirme a versão e o Take do Jumbo Hotfix instalado. Confirme também se Trusted Clients aceita “Any” e se o Management Server tem regra de firewall restritiva.

  • Listar instâncias de Security Management e MDS com versão e Take.
  • Verificar a exposição à internet do IP do Management Server.
  • Conferir a configuração de Trusted Clients no SmartConsole.
  • Documentar versão e Take do Jumbo Hotfix em uso.
  • Revisar logs de acesso administrativo recentes.

Servidores de gestão que permanecem expostos à internet depois do patch devem ser tratados como risco residual e rediscutidos com a área de rede.

Como corrigir e mitigar

Para implantações locais, a prioridade é instalar o Jumbo Hotfix correspondente, sem esperar o ciclo regular de correção.

  1. Aplique o Jumbo Hotfix: Take 36 no R82.10, Take 118 no R82 ou Take 158 no R81.20.
  2. Restrinja Trusted Clients a IPs ou sub-redes confiáveis; nunca use “Any”.
  3. Proteja o Management Server com firewall e limite-o a fontes autorizadas.
  4. Investigue sinais de comprometimento antes e depois da atualização.
  5. Revise atividade de administradores, SmartConsole, API e tokens de aplicação.

A Check Point recomenda limitar Trusted Clients a endereços IP ou sub-redes confiáveis como mitigação imediata. A correção e a caça a indicadores devem andar juntas, em especial em servidores que estiveram acessíveis pela internet antes do patch.

Risco de controlar a gestão

Comprometer um Security Management Server é especialmente grave porque ele está no topo da hierarquia de confiança. Um invasor com acesso administrativo pode alterar políticas em todos os gateways gerenciados, mudar permissões de administradores e manipular configurações de VPN. Desabilitar logs e monitoramento seria útil para quem quer manter acesso sem ser notado. Por isso a resposta não termina no patch: equipes devem tratar servidores de gestão expostos à internet antes da correção como candidatos a avaliação de comprometimento, como discutido em nossa análise sobre prontidão e resposta a incidente. Na mesma atualização de 22 de julho, a CISA também adicionou CVE-2026-50522, uma falha de desserialização no Microsoft SharePoint Server com CVSS 9,8, em exploração ativa. Consoles administrativos e plataformas de colaboração seguem como alvos prioritários.

Fontes