Falha crítica no Check Point Management permite execução de código como root sem autenticação

18 de Setembro de 2026 Atualizado em 18 de Setembro de 2026

A Check Point Software divulgou atualizações de segurança para corrigir uma vulnerabilidade crítica que pode permitir a invasores executar código com privilégios de root em sistemas de gerenciamento.

Identificada como CVE-2026-91843 , a falha decorre de uma fraqueza de estouro de buffer baseada em pilha no processo de login das instâncias do Security Management Server, que administram Security Gateways, os firewalls, e monitoram eventos de segurança da rede. O problema também afeta o Log Server da empresa, um servidor dedicado a coletar e armazenar logs gerados pelos firewalls da Check Point.

Se a exploração for bem-sucedida, threat actors sem privilégios conseguem obter execução remota de código como root em ataques de baixa complexidade, que não exigem interação do usuário. A falha, classificada pela própria Check Point com nota 9,8 na escala CVSS, ocorre antes da autenticação do usuário e pode ser disparada por uma requisição de login com um nome de usuário muito longo, segundo a empresa de varredura na internet Censys.

A Check Point já lançou uma correção por meio do canal LivePatch e afirmou não haver indícios de exploração da falha. Em comunicado publicado na comunidade CheckMates em 16 de setembro de 2026, a empresa disse que clientes com atualizações automáticas ativadas já estão protegidos e que os demais devem aplicar a correção descrita no advisory sk1000155. A companhia também disponibilizou medidas temporárias de mitigação para clientes que não consigam aplicar o mais recente LivePatch, incluindo o endurecimento dos sistemas vulneráveis e a limitação do acesso a endereços IP e sub-redes confiáveis por meio de Manage & Settings > Permissions & Administrators > Trusted Clients, no SmartConsole.

“No momento, não há indicação de que esta vulnerabilidade tenha sido explorada em ambiente real”, disse a empresa. A Cybersecurity and Infrastructure Security Agency dos Estados Unidos, CISA, registrou a exploração como “none” na avaliação anexada ao registro da CVE em 17 de setembro. A falha também não constava no catálogo Known Exploited Vulnerabilities da CISA até a atualização de 16 de setembro. A Censys disse que, até 16 de setembro, não havia exploit de prova de conceito público disponível. Segundo a Check Point, Aviv Abramovich, vice-presidente de gestão de produto para segurança de rede da empresa, afirmou que não haviam sido recebidos relatos de exploração.

Embora a empresa ainda não tenha classificado a falha como ativamente explorada, informou que as equipes de segurança podem identificar ataques relacionados à CVE-2026-91843 ao procurar alertas de “Administrator failed to log in: Username too long” nos logs de Auditoria e de login de administradores.

### Versões afetadas

O registro da CVE na Check Point lista como afetadas as seguintes linhas de produto, por Jumbo Hotfix Take, que é o nível numerado do pacote de atualização que reúne as correções de uma versão.

Um servidor em uma das linhas listadas, com o Take indicado ou anterior, está vulnerável.

R82.10 com Jumbo Hotfix Take 44 ou inferior
R82 com Jumbo Hotfix Take 126 ou inferior
R81.20 com Jumbo Hotfix Take 166 ou inferior
R81.10 com Jumbo Hotfix Take 190 ou inferior, além de R81, R80.40, R80.30, R80.20, R80.10 e R80, todos fora de suporte

O registro não cita o R82.20, mas Abramovich afirmou que o R82.20 também é vulnerável. Em seu alerta, a Censys disse que todas as versões do R82.20 são afetadas e que ainda não existe Jumbo Hotfix capaz de proteger essa linha.

Implantações standalone, nas quais o gerenciamento e o gateway operam no mesmo sistema, além de Log Servers e servidores Multi-Domain, também estão vulneráveis, disse Abramovich. A empresa também esclareceu que “todas as implantações do Security Management Server estão vulneráveis, independentemente da configuração” e que “a vulnerabilidade não depende de nenhuma configuração específica de gerenciamento”, permanecendo ativa mesmo quando a VPN não está em uso ou configurada. Um alerta da NHS England Digital, citando o sk1000155, informa que o serviço hospedado Smart-1 Cloud não é afetado porque a correção já foi aplicada lá.

O registro da CVE marca R81.10 e as linhas mais antigas como fora de suporte. A Check Point já tem uma correção pronta para essas versões sem suporte, disse Abramovich, e os clientes que precisarem dela devem abrir um chamado com o suporte da empresa.

### O que os administradores devem fazer

Aplicar a correção LivePatch descrita no sk1000155 em todo Security Management Server e Log Server.

Se as atualizações automáticas estiverem ativadas, confirmar que a correção foi instalada, em vez de presumir isso. O comando `cplp list` mostra quais LivePatches estão instalados e qual é o status de cada um.

Com ou sem a correção instalada, verificar se o acesso Trusted Clients do gerenciamento está restrito a hosts conhecidos e confiáveis, e não configurado para qualquer endereço IP, além de não expor o acesso de gerenciamento diretamente à internet.

Segundo o guia de hardening da Check Point, “atualizações automáticas” é a configuração descrita no sk175504. Trata-se da caixa de seleção no SmartConsole, em Global Properties e Data Access Control, com o rótulo “Automatically download and install Software Blade Contracts, security updates, and other important data (highly recommended)”, seguida da instalação da política de Access Control. O LivePatch é o canal usado pela Check Point para distribuir correções urgentes de segurança a sistemas com essa opção ativada.

A entrega nem sempre é imediata. Quando a Check Point liberou recentemente correções para duas falhas em certificados de VPN, vários clientes escreveram na comunidade que o pacote automático não havia chegado aos seus sistemas no dia do anúncio. Um administrador da comunidade respondeu que, provavelmente, a distribuição estava ocorrendo em fases, e não para todos ao mesmo tempo. Os clientes também perceberam que os links de download desses avisos só apareciam após o login no User Center.

A configuração Trusted Clients fica no SmartConsole, em Manage & Settings, Permissions & Administrators, Trusted Clients, conforme o guia de hardening, que também recomenda evitar acesso direto pela internet ao gerenciamento e exige o uso de VPN. O caminho vulnerável existe “apenas por meio de trusted clients”, disse Abramovich, e a Check Point recomenda que os clientes confirmem se a configuração não está em qualquer IP, mas apenas em hosts confiáveis.

A Censys disse que observa 3.836 hosts no mundo todo que exibem a identidade padrão atribuída pela Check Point aos seus servidores de gerenciamento e de log. A empresa explicou que escolheu esse método porque o nível de build e de hotfix não fica visível nos dados de varredura. “Esse número representa a presença total da função, não a quantidade confirmada de sistemas vulneráveis”, afirmou a empresa.

### Quinta falha crítica de gerenciamento desde julho

A CVE-2026-91843 é a quinta falha crítica desde 22 de julho que um invasor consegue alcançar no Security Management Server sem fazer login, considerando os registros de CVE da Check Point.

A primeira, a CVE-2026-16232 , um bypass de autenticação no SmartConsole, foi explorada em julho. Na ocasião, Lotem Finkelstein, da Check Point, escreveu que ela afetava “alguns poucos clientes” em uma configuração específica, “quando o Management é exposto diretamente à internet sem restrições de IP”. A primeira medida de mitigação recomendada então foi a mesma sugerida agora: limitar Trusted Clients a endereços confiáveis.

A CISA acrescentou a CVE-2026-16232 ao catálogo Known Exploited Vulnerabilities no mesmo dia. Um segundo bypass de gerenciamento divulgado naquele dia, a CVE-2026-62144 , não teve exploração reportada.

Depois vieram mais dois casos: a CVE-2026-18574 , um bypass de autenticação que poderia permitir execução de comandos no servidor de gerenciamento, em 3 de agosto, e a CVE-2026-85103 , um heap overflow na decodificação de certificados de VPN que também atinge o Quantum Security Management, em 9 de setembro. Na semana passada, a companhia já havia corrigido outra falha crítica de execução remota de código, a CVE-2026-85103 , resultante de um estouro de heap no fluxo de decodificação ASN.1 do certificado VPN, que afeta firewalls e sistemas de gerenciamento da Check Point. A Check Point disse que descobriu ambas internamente e não tinha indícios de exploração.

No mesmo dia, a empresa corrigiu uma segunda falha crítica, a CVE-2026-85102 , que permite a hackers não autenticados burlar a autenticação e executar código remotamente em firewalls vulneráveis.

Embora essas vulnerabilidades ainda não tenham sido exploradas em ambiente real, a Check Point apontou outras falhas como ativamente exploradas nos últimos meses.

A primeira, um zero-day de bypass de autenticação identificado como CVE-2026-50751 , vem sendo abusada desde junho por um afiliado do ransomware Qilin. Já uma segunda falha zero-day de bypass de autenticação, a CVE-2026-16232 , vem sendo explorada desde pelo menos julho para autenticar com privilégios de administrador nos painéis de administração do SmartConsole.

Mais recentemente, o Centro Nacional de Segurança Cibernética da Holanda, o NCSC-NL, orientou organizações a priorizarem a correção de duas falhas críticas na VPN da Check Point, monitoradas como CVE-2026-85102 e CVE-2026-85103 , porque a entidade “espera que tentativas de exploração ocorram em breve”.

Quem encontrou a CVE-2026-91843 não foi divulgado, e a Check Point não respondeu a essa pergunta em sua manifestação.

**Atualização:** este texto foi atualizado em 18 de setembro de 2026 com respostas da Check Point confirmando que R82.20, implantações standalone, Log Servers e servidores Multi-Domain estão vulneráveis, que o caminho vulnerável passa apenas pela configuração Trusted Clients e que existe uma correção para versões fora de suporte, disponível por meio do suporte da Check Point.

Vibecoding cria 10x mais sistemas, 20x mais vulneráveis. E quem ganha com isso é a galera do hacking ético e pentest. Quer ser pago para invadir sistemas? Então você tem que aprender com a Solyd que são os melhores do Brasil. Saiba mais...