A Check Point confirmou exploração ativa de uma vulnerabilidade crítica no serviço de gerenciamento de seus produtos de segurança. Identificada como CVE-2026-93616, a falha permite que um atacante não autenticado abuse de directory traversal e upload de arquivos para executar scripts arbitrários no Management Server.
O problema recebeu CVSS 3.1 de 9,8. A Check Point Research descreveu a falha como um zero-day de pré-autenticação e informou ter observado um número limitado de ataques direcionados. Como o componente administra políticas e dados de segurança, a prioridade deve ser a aplicação imediata da correção em instalações afetadas.
O que a vulnerabilidade permite
A CVE-2026-93616 afeta o serviço web de gerenciamento. O fluxo vulnerável permite que uma requisição atravesse o caminho esperado de arquivos, faça upload em local indevido e execute um script arbitrário. A exploração ocorre antes da autenticação normal, portanto não depende de uma conta válida no Management Server.
O impacto pode incluir comprometimento do servidor de gerenciamento, alteração de configurações, acesso a informações administrativas e execução de código com os privilégios disponíveis ao serviço. Em ambientes com gerenciamento centralizado, o servidor comprometido pode se tornar uma ponte para modificar políticas e alcançar outros componentes de segurança.
A vulnerabilidade não deve ser confundida com a CVE-2026-85102, também citada no comunicado da Check Point. A CVE-2026-85102 é uma falha distinta no tratamento de certificados VPN e permite execução remota de código no Security Gateway. Este artigo trata especificamente da CVE-2026-93616 no Security Management.
Produtos e versões afetadas
De acordo com o SecureKnowledge da Check Point, os produtos afetados são o Security Management Server, o Multi-Domain Security Management Server, o Log Server, o Multi-Domain Log Server e o SmartEvent.
| Ramo ou versão | Situação |
|---|---|
| R82.20 | Afetado; aplicar o hotfix de segurança |
| R82.10 | Afetado até o Jumbo Hotfix Take 44; corrigido a partir do Take 45 |
| R82 | Afetado até o Jumbo Hotfix Take 126; corrigido a partir do Take 127 |
| R81.20 | Afetado até o Jumbo Hotfix Take 166; corrigido a partir do Take 170 |
| R81.10 | Afetado até o Take 190; corrigido a partir do Take 192; ramo em fim de suporte |
| R80 a R81 | Versões em fim de suporte afetadas |
A Check Point informa que o Smart-1 Cloud já recebeu a correção. Check Point Firewall Appliances e Check Point Spark Firewall não são afetados por esta CVE. O LivePatch Take 28/29 também não corrige o problema.
Correções disponíveis
A correção está disponível no hotfix de segurança do R82.20. Ela também foi incorporada aos seguintes acumuladores:
- R82.20 Jumbo Hotfix Accumulator Take 10 ou posterior;
- R82.10 Jumbo Hotfix Accumulator Take 45 ou posterior;
- R82 Jumbo Hotfix Accumulator Take 127 ou posterior;
- R81.20 Jumbo Hotfix Accumulator Take 170 ou posterior;
- R81.10 Jumbo Hotfix Accumulator Take 192 ou posterior.
A Check Point informa que não há LivePatch para esta vulnerabilidade. Organizações que permanecem em um ramo fora de suporte devem planejar uma atualização para uma versão suportada, em vez de manter o servidor exposto com base apenas em controles temporários.
Mitigação enquanto a atualização não é instalada
Restrinja o acesso à porta TCP/19009 para endereços IP confiáveis. O Management Server não deve aceitar conexões administrativas de redes não necessárias ao funcionamento do ambiente.
Revise a configuração de Trusted Clients no SmartConsole e mantenha somente clientes internos e autorizados. Essa medida reduz a superfície de ataque, mas não substitui a instalação do hotfix, especialmente porque o advisory descreve exploração pré-autenticação.
Como investigar sinais de comprometimento
A Check Point publica comandos específicos para pesquisar os indicadores nos arquivos cpm.elg. Eles procuram, entre outros sinais, tentativas de login com nomes de usuário anormalmente longos, caminhos com separadores inesperados ou codificados, sequências de directory traversal em uploads e referências a locais fora do diretório esperado de ferramentas de atualização.
Use os comandos exatamente como aparecem no advisory e somente com o nível de acesso operacional adequado. Antes de remediar, preserve os logs de gerenciamento, arquivos de dump, logs do sistema, registros de banco de dados e horários de alteração de arquivos quando isso for viável.
Um indicador isolado não confirma comprometimento. Correlacione os eventos com acessos administrativos, alterações de política, novos arquivos, processos incomuns, conexões de saída e atividades em servidores gerenciados. Se houver evidência de exploração, isole o servidor conforme o plano de resposta e envolva a equipe responsável pelo ambiente Check Point.
Recomendações práticas
Inventarie os servidores. Identifique Security Management, Multi-Domain Management, Log Server e SmartEvent expostos e registre o ramo, o Take instalado e o estado de suporte.
Aplique o hotfix correto. Instale a correção indicada para o ramo em uso e valide a versão após a mudança. Evite assumir que uma atualização do gateway corrige automaticamente o Management Server.
Proteja a administração. Mantenha a porta 19009 acessível somente a redes confiáveis, revise Trusted Clients e elimine exposições diretas à internet que não sejam indispensáveis.
Faça uma busca retroativa. Pesquise os indicadores de exploração nos logs antes de atualizar. A correção impede novas explorações conhecidas, mas não remove alterações já realizadas por um atacante.
Revise credenciais e políticas se houver sinais. Após confirmar ou suspeitar de comprometimento, redefina credenciais administrativas conforme o procedimento interno, revise contas e políticas modificadas e preserve evidências para análise forense.
Conclusão
A CVE-2026-93616 é uma falha crítica de pré-autenticação no serviço web de gerenciamento da Check Point. A exploração pode permitir traversal, upload de arquivo e execução de script arbitrário sem login válido. A fabricante confirmou ataques direcionados e já disponibilizou correções.
Administradores devem identificar os ramos afetados, aplicar o hotfix correspondente, restringir TCP/19009 e pesquisar os indicadores publicados antes da remediação. A ausência de registros suspeitos não elimina o risco: servidores de gerenciamento expostos devem ser tratados como prioridade até que estejam corrigidos e verificados.
Fontes primárias
Check Point SecureKnowledge: CVE-2026-93616 — Directory Traversal and File upload.
Check Point Research: Security Advisory sobre exploração ativa e CVE-2026-93616.
CVE.org: CVE-2026-93616.