A vulnerabilidade CVE-2026-16232 no Check Point SmartConsole permite que um atacante remoto não autenticado obtenha um token de login de aplicação e assuma privilégios administrativos completos sobre servidores de gestão de segurança da plataforma. A CISA adicionou a falha ao catálogo de vulnerabilidades conhecidas como exploradas em 22 de julho de 2026, fixando o prazo de correção em 25 de julho para agências federais americanas. A Check Point confirmou exploração ativa e disponibilizou correções.
Como o ataque acontece
A falha reside no processo de autenticação do SmartConsole, a interface centralizada que administradores usam para gerir Security Management Servers e Multi-Domain Security Management Servers (MDS). Um atacante remoto sem credenciais consegue obter um token de aplicação — normalmente reservado a administradores autenticados — e utilizá-lo para iniciar sessão com privilégios máximos. Com esse acesso, o invasor pode modificar políticas de firewall, alterar configurações de segurança e criar contas administrativas, comprometendo toda a infraestrutura gerida pelo servidor de gestão.
O exploit remoto exige duas condições: o endereço IP do Management Server acessível a partir da internet e ausência de restrições na lista de Trusted Clients, os IPs autorizados a ligar à interface gráfica. Servidores de gestão expostos diretamente à internet tornam-se alvos imediatos. A avaliação do CISA-ADP atribuiu CVSS 9.1 com classificação Crítico e vetor CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, evidenciando impacto alto em confidencialidade e integridade sem interação do utilizador. A fraqueza está catalogada como CWE-287, autenticação imprópria.
Versões afetadas e correção
A vulnerabilidade afeta Security Management Server e Multi-Domain Security Management Server desde a versão R77.30 até R82.10. A Check Point corrigiu o problema em três faixas de Jumbo Hotfix Accumulator, conforme o boletim sk185169 publicado em 22 de julho. As versões corrigidas e os hotfix mínimos são:
| Versão suportada | Hotfix mínimo necessário |
|---|---|
| R82.10 | Jumbo Hotfix Accumulator Take 36 |
| R82 | Jumbo Hotfix Accumulator Take 118 |
| R81.20 | Jumbo Hotfix Accumulator Take 158 |
Versões anteriores — R77.30, R80, R80.10, R80.20, R80.30, R81 e R81.10 — já atingiram fim de suporte e não recebem correção. Organizações nessas versões precisam de upgrade para R81.20, R82 ou R82.10 antes de aplicar o hotfix correspondente.
Passos para mitigar agora
Em paralelo à aplicação do hotfix, administradores devem restringir o acesso à interface de gestão. A Check Point recomenda limitar Trusted Clients a subredes confiáveis e nunca usar o tipo “Any” como cliente permitido. O procedimento de resposta é:
- Restringir Trusted Clients: em SmartConsole, aceda a Manage & Settings, depois Permissions & Administrators, e em Trusted Clients limite os IPs autorizados a subredes internas.
- Isolar o Management Server: garanta que o IP do servidor de gestão não está exposto à internet; use VPN ou jump server para acesso remoto.
- Aplicar o hotfix: instale o Jumbo Hotfix Accumulator adequado: Take 36 para R82.10, Take 118 para R82 ou Take 158 para R81.20.
- Procurar sinais de ataque: em Logs & Monitor, filtre por origem ou destino nos IPs conhecidos de atacantes: 151.241.99.207, 151.241.99.233, 158.62.198.182, 192.142.10.99 e 139.28.37.250.
- Auditar tokens de aplicação: nos registos de auditoria, procure sessões com método de autenticação por application token para detetar logins anómalos.
Risco de takeover administrativo
O controlo total de um Security Management Server representa um dos cenários mais graves em ambientes Check Point, porque o servidor centraliza a configuração de todas as políticas distribuídas aos gateways de rede. Um atacante com privilégios administrativos pode criar regras permissivas, desativar inspeções ou introduzir backdoors persistentes que sobrevivem a correções posteriores. O padrão é semelhante ao bypass de autenticação no PAN-OS da Palo Alto: ferramentas de gestão de segurança expostas à internet são alvo prioritário.
O prazo de apenas três dias entre a inclusão no KEV em 22 de julho e a data limite de 25 de julho reflete a urgência. A CVE-2026-16232 e a CVE-2026-50522 do SharePoint, ambas adicionadas ao KEV no mesmo dia, compartilham exploração ativa confirmada e janela de correção de três dias. Organizações com Management Servers em versões sem suporte devem priorizar o upgrade como defesa estrutural.