A Check Point Software corrigiu uma falha de zero-day que vinha sendo explorada ativamente no painel administrativo com interface gráfica SmartConsole, usado em seus produtos Security Management e Multi-Domain Management (MDSM), além de liberar patches para outras duas vulnerabilidades.
Identificada como
CVE-2026-16232
e classificada com CVSS 9,3, a falha é um bypass de autenticação que atinge o processo de login do Check Point SmartConsole. Na prática, ela permite que um atacante remoto sem credenciais obtenha um token de login da aplicação e o use para se autenticar com privilégios administrativos completos.
Depois de obter acesso a um Security Management Server vulnerável ou a um Multi-Domain Security Management Server (MDS), os invasores podem alterar a configuração e a política de segurança. “O sucesso da exploração permite que o atacante modifique políticas de segurança e configurações de segurança”, informa a descrição da falha no CVE.org. “A exploração remota exige acesso à internet ao endereço IP do Management Server e uma configuração que não restrinja Trusted Clients.”
A Check Point informou ainda que a exploração bem-sucedida exige que não haja restrições para Trusted Clients, ou clientes GUI confiáveis, e que o endereço IP do Management Server esteja exposto ao acesso remoto pela internet. “A Check Point tem ciência de que essa vulnerabilidade está sendo explorada e que afetou um número muito pequeno de clientes”, afirmou a empresa em comunicado divulgado no domingo.
Lotem Finkelstein, vice-presidente de pesquisa da Check Point, já havia dito que a empresa tinha conhecimento de um pequeno número de clientes sendo alvo dessa falha e que os havia notificado. A companhia não revelou a natureza dos ataques nem quando eles foram descobertos.
“Isso afeta apenas uma configuração muito específica, quando o Management fica exposto diretamente à internet sem restrições de IP”, acrescentou Finkelstein.
A empresa de cibersegurança também divulgou os indicadores de comprometimento associados à atividade:
151.241.99[.]207
151.241.99[.]233
158.62.198[.]182
192.142.10[.]99
139.28.37[.]250
194.213.18[.]137
Além da
CVE-2026-16232
, a Check Point liberou correções para outras duas falhas. A
CVE-2026-62144
, também com CVSS 9,3, é uma vulnerabilidade de bypass de autenticação em Check Point Security Management e Multi-Domain Security Management que permite a um atacante remoto não autenticado executar comandos administrativos no Management Server, incluindo run-script e exec-command no Security Gateway. Já a
CVE-2026-62145
, com CVSS 7,5, é uma falha de gerenciamento inadequado de privilégios no Check Point Gaia Portal que permite a um atacante autenticado com permissões apenas de leitura executar comandos com privilégios de root.
Assim como ocorre com a
CVE-2026-16232
, a exploração bem-sucedida da
CVE-2026-62144
exige acesso ao management sem proteção por firewall ou sem restrições para Trusted Clients. As três falhas afetam as versões R77.30, R80, R80.10, R80.20, R80.30, R81, R81.10, R81.20, R82 e R82.10.
A recomendação é aplicar o Jumbo hotfix de 22 de julho, limitar os Trusted Clients a endereços IP e sub-redes confiáveis, proteger o acesso ao Management com firewall e restringir o acesso a IPs confiáveis. Administradores que não conseguirem atualizar imediatamente para uma versão corrigida também devem seguir o guia de boas práticas de hardening da Check Point e garantir que o acesso de gerenciamento esteja bloqueado para endereços IP não autorizados.
Para verificar se uma instância do SmartConsole foi comprometida, os administradores precisam buscar a consulta “Authentication method: application token” no SmartConsole, em Logs & Monitor / Logs & Events > Audit Logs View, após executar a seguinte consulta no SmartConsole.
Na quarta-feira, a Cybersecurity and Infrastructure Security Agency (CISA) também incluiu a falha em seu catálogo de Known Exploited Vulnerabilities (KEV), determinando que as agências federais dos Estados Unidos corrijam as instâncias vulneráveis do SmartConsole até sábado, 25/07, conforme exigido pela Binding Operational Directive (BOD) 26-04. “Esse tipo de vulnerabilidade é um vetor de ataque frequente para atores cibernéticos maliciosos e representa riscos significativos para o ambiente federal”, alertou a agência.
Embora a BOD 26-04 se aplique apenas a órgãos do governo dos Estados Unidos, a CISA pediu que todas as organizações priorizem a correção da vulnerabilidade
CVE-2026-16232
para bloquear ataques em andamento.
Em junho, a CISA determinou que agências federais protegessem suas implementações de Check Point Remote Access VPN e Mobile Access contra outra falha de autenticação, a
CVE-2026-50751
, explorada em ataques de zero-day pelo grupo de ransomware Qilin. Há dois anos, a agência já havia sinalizado outra falha, a
CVE-2024-24919
, nos gateways de segurança Quantum da Check Point, que estava sendo explorada ativamente por grupos de ransomware, confirmando um relatório do CERT da Orange Cyberdefense que a ligava a ataques com o ransomware NailaoLocker.
Publicidade
Nossa audiência é formada por analistas, pentesters, decisores e entusiastas que consomem nossas notícias todo dia pelo Site, Newsletter e Instagram. Fale com quem realmente importa para o seu negócio. Anuncie aqui. Saiba mais...