Descoberta e escopo da vulnerabilidade
A Check Point alertou seus clientes sobre a exploração ativa de uma vulnerabilidade zero-day crítica em sua infraestrutura de gerenciamento de segurança. Rastreada como CVE-2026-93616, a falha possui pontuação CVSS de 9.8 e permite que um atacante remoto não autenticado faça upload e execute scripts arbitrários em um servidor de gerenciamento exposto. A combinação de traversia de diretório com comportamento inseguro de upload de arquivos cria uma rota direta para execução remota de código (RCE).
A Check Point descreveu a exploração como limitada e "pontual", mas as atividades observadas antecedem a divulgação pública. De acordo com a empresa, os ataques ocorreram a partir de 23 de julho de 2026, caracterizando a falha como zero-day, pois foi abusada antes que uma atualização de segurança fosse disponibilizada. O fornecedor não atribuiu publicamente as intrusões nem divulgou os objetivos dos atacantes ou as organizações afetadas.
Impacto técnico e mecanismos de exploração
A vulnerabilidade reside no serviço web de gerenciamento da Check Point. Ao manipular caminhos de arquivo, um atacante pode forçar o serviço a executar um script de uma localização arbitrária e carregar uma classe Java arbitrária sem autenticação prévia. Isso concede ao adversário externo uma rota para executar código controlado por ele em um sistema altamente privilegiado que administra políticas de segurança e coleta dados operacionais.
O comprometimento de um servidor de gerenciamento coloca o plano administrativo central nas mãos do atacante, permitindo a modificação de regras de firewall, desativação de proteções e exfiltração de logs sensíveis. A natureza da falha torna impossível confiar apenas em controles de acesso, reforçando a necessidade de aplicação imediata de patches.
Produtos e versões afetadas
Os produtos afetados incluem Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server e SmartEvent. As versões vulneráveis abrangem uma ampla gama de releases:
- R82.20; R82.10 Jumbo Hotfix Take 44 e anteriores;
- R82 Take 126 e anteriores;
- R81.20 Take 166 e anteriores;
- R81.10 Take 190 e anteriores (versão com suporte encerrado);
- Todas as versões R80, R80.10, R80.20, R80.30, R80.40 e R81 também são afetadas.
É importante notar que o Smart-1 Cloud não é vulnerável, pois a correção já foi aplicada. Da mesma forma, os appliances de firewall Check Point e o Check Point Spark Firewall não são afetados por esta questão específica.
Medidas de mitigação e correção
As organizações devem instalar o R82.20 Security Hotfix ou migrar para um Jumbo Hotfix Accumulator corrigido imediatamente. A correção está incluída nas versões R82.10 Take 45, R82 Take 127, R81.20 Take 170 e R81.10 Take 192 ou posteriores.
Até que o patching seja concluído, os servidores de gerenciamento devem permanecer atrás de um Security Gateway ou firewall Check Point, e o acesso à porta TCP 19009 deve ser restrito a endereços IP confiáveis. Clientes confiáveis no SmartConsole devem conter apenas endereços internos verificados.
A equipe de resposta a incidentes deve investigar todos os servidores de gerenciamento, log e SmartEvent afetados, não apenas hosts voltados para a internet. Comandos no modo Expert fornecidos pela advisory da Check Point permitem identificar nomes de usuário excessivamente longos nos logs cpm.elg e correlacioná-los com core dumps FWM ou MDS.
Sinais de exploração e investigação forense
A Check Point recomenda buscar erros de ReflectionUtils indicando falha no carregamento do mapa allResourceFiles e examinar os caminhos retornados para sequências de travessia como "../". Qualquer padrão desses indica tentativa de exploração e exige investigação forense imediata e focada.
Equipes que encontrarem entradas de log suspeitas devem preservar logs relevantes e core dumps, isolar o servidor afetado quando operacionalmente possível, avaliar a atividade subsequente e entrar em contato com o suporte da Check Point. A advisory mais recente foi atualizada em 22 de setembro de 2026, e administradores devem monitorá-la para novos indicadores ou orientações revisadas.
O que os CISOs devem fazer agora
- Prioridade máxima no patching: Aplique o hotfix de segurança imediatamente, priorizando sobre controles de acesso.
- Hunting proativo: Execute buscas nos logs de auditoria por padrões de traversal de diretório e uploads de arquivos não autorizados.
- Restrição de rede: Bloqueie o acesso à porta 19009 de redes externas até que a correção seja aplicada.
- Monitoramento de comportamento: Vigie tentativas de acesso não autorizado ao SmartConsole e alterações em políticas de segurança.