A Check Point lançou atualizações de segurança para corrigir múltiplas vulnerabilidades que afetam os produtos Security Management e Multi-Domain Management (MDSM), incluindo uma falha crítica que está sendo ativamente explorada.
A falha de segurança, rastreada como CVE-2026-16232 (pontuação CVSS: 9,3), é uma falha de bypass de autenticação que afeta o processo de login do SmartConsole da Check Point, permitindo que um invasor remoto não autenticado obtenha um token de login do aplicativo e o utilize para autenticar com privilégios administrativos completos.
"A exploração bem-sucedida permite que o invasor modifique políticas de segurança e configurações de segurança", de acordo com uma descrição da falha no CVE.org. "A exploração remota requer acesso à internet para o endereço IP do Management Server e uma configuração que não restrinja os Trusted Clients."
Lotem Finkelstein, vice-presidente de pesquisa da Check Point, disse que a empresa está ciente de alguns clientes sendo alvo dessa falha e que já os notificou. A empresa não revelou a natureza dos ataques nem quando foram descobertos.
"Isso afeta apenas uma configuração muito específica - quando o Management está exposto diretamente à internet sem restrições de IP", completou Finkelstein.
A fornecedora de cibersegurança compartilhou os seguintes indicadores de comprometimento (IoCs) associados à atividade:
- 151.241.99[.]207
- 151.241.99[.]233
- 158.62.198[.]182
- 192.142.10[.]99
- 139.28.37[.]250
- 194.213.18[.]137
Também foram lançados patches para outras duas falhas:
- CVE-2026-62144 (pontuação CVSS: 9,3) - Uma vulnerabilidade de bypass de autenticação no Check Point Security Management e Multi-Domain Security Management que permite que um invasor remoto não autenticado execute comandos administrativos no Management Server, incluindo run-script e exec-command no Security Gateway.
- CVE-2026-62145 (pontuação CVSS: 7,5) - Uma vulnerabilidade de gerenciamento inadequado de privilégios no Check Point Gaia Portal que permite que um invasor autenticado com privilégios apenas de leitura no Gaia Portal execute comandos com privilégios de root.
Assim como no caso do CVE-2026-16232, a exploração bem-sucedida do CVE-2026-62144 requer acesso ao gerenciamento sem proteção de Firewall ou sem restrições nos Trusted Clients (clientes GUI). As três questões afetam as seguintes versões:
- R77.30
- R80
- R80.10
- R80.20
- R80.30
- R81
- R81.10
- R81.20
- R82
- R82.10
Recomenda-se que os clientes apliquem o hotfix Jumbo de 22 de julho, limitem os Trusted Clients (clientes GUI) a endereços IP/sub-redes confiáveis, protejam o acesso ao Management com Firewall e restrinjam o acesso a endereços IP confiáveis.
O desenvolvimento levou a Agência de Cibersegurança e Infraestrutura de Segurança dos EUA (CISA) a adicionar a falha ao seu catálogo de Vulnerabilidades Conhecidas Exploradas (KEV), exigindo que as agências do Poder Executivo Civil Federal Federal (FCEB) apliquem as correções necessárias até 25 de julho de 2026.
