Check-Point-Schwachstelle ermöglicht Angreifern das Ausführen von Code als Root

Eine kritische Check-Point-Schwachstelle, die als CVE-2026-91843 erfasst ist, könnte es einem Angreifer ohne Anmeldeinformationen ermöglichen, über das Netzwerk Code als Root auf Check Point Security Management und Log Servern auszuführen. Root ist die höchste Zugriffsebene auf einem Linux-System, sodass Code, der als Root läuft, alles tun kann, wozu die Maschine fähig ist. Der Security Management Server ist das System, das die Firewall-Richtlinie und den Administratorzugriff steuert, was ihn zu einem der sensibelsten Rechner in einem Unternehmensnetzwerk macht. Check Point bewertet die Schwachstelle mit 9,8 von 10 auf der CVSS-Skala, einem weit verbreiteten Maß für die Schwere einer Sicherheitslücke, und hat einen Fix über seinen LivePatch-Update-Kanal veröffentlicht, den Weg, den das Unternehmen nutzt, um dringende Sicherheitsfixes zu verteilen. Check Point gibt an, keine Hinweise darauf zu haben, dass die Schwachstelle ausgenutzt wurde.

Die Schwachstelle ist ein Stack-Overflow im Anmeldeprozess, dem Teil der Software, der Anfragen bearbeitet, bevor ein Benutzer authentifiziert wurde. Ein Stack-Overflow ist ein Programmierfehler, bei dem ein Programm mehr Daten in einen kleinen reservierten Speicherbereich schreibt, als dieser aufnehmen kann, was einem Angreifer die Kontrolle über das Programm ermöglichen kann. Das Internet-Scanning-Unternehmen Censys sagte, der Overflow werde durch eine Anmeldeanfrage mit einem sehr langen Benutzernamen ausgelöst. Check Point teilte The Hacker News mit, dass der verwundbare Pfad nur über die Trusted-Clients-Einstellung verläuft, die steuert, welche Hosts sich über SmartConsole, die administrative Konsole, mit dem Management-Server verbinden dürfen.

Check Point veröffentlichte am 16. September 2026 einen Hinweis in seiner CheckMates-Community, wonach Kunden mit aktivierten automatischen Updates bereits geschützt sind und alle anderen den in der Advisory sk1000155 beschriebenen LivePatch-Fix anwenden sollten. Es wurde Kunden dringend geraten, aufgrund der Schwere und der möglichen Auswirkungen der Schwachstelle sofort zu handeln. „Derzeit gibt es keine Hinweise darauf, dass diese Schwachstelle in freier Wildbahn ausgenutzt wurde“, hieß es in dem Hinweis. Die US-Cybersecurity-and-Infrastructure-Security-Agency (CISA) verzeichnete die Ausnutzung als „none“ in ihrer Bewertung, die dem CVE-Eintrag am 17. September beigefügt war. Die Schwachstelle war nicht im Known-Exploited-Vulnerabilities-Katalog von CISA, einer Liste von Schwachstellen, die bekanntermaßen von Angreifern genutzt werden, Stand der Veröffentlichung des Katalogs am 16. September, den The Hacker News am 17. September überprüfte. Censys sagte, dass bis zum 16. September kein öffentlicher Proof-of-Concept-Exploit existierte. Aviv Abramovich, Vice President of Product Management for Network Security bei Check Point, sagte zu The Hacker News, das Unternehmen habe keine Berichte über eine Ausnutzung erhalten.

Der CVE-Eintrag von Check Point listet die betroffenen Branches nach Jumbo Hotfix Take auf, der nummerierten Stufe des Update-Pakets, das die Fixes für ein Release sammelt. Ein Server auf einem aufgeführten Branch mit dem aufgeführten Take oder einem älteren ist betroffen. R82.10 ist bei Jumbo Hotfix Take 44 oder niedriger betroffen; R82 bei Take 126 oder niedriger; R81.20 bei Take 166 oder niedriger; und R81.10 bei Take 190 oder niedriger, zusammen mit R81, R80.40, R80.30, R80.20, R80.10 und R80, die alle das Ende des Supports erreicht haben. Der Eintrag listet R82.20 nicht auf, aber Abramovich sagte, R82.20 sei ebenfalls verwundbar, und Censys erklärte in seiner Advisory, dass jeder R82.20-Build betroffen sei und noch kein Jumbo Hotfix diesen Branch schütze.

Standalone-Deployments, die den Management-Server und das Gateway auf einem System ausführen, sind ebenfalls verwundbar, ebenso wie Log Server und Multi-Domain-Server, sagte Abramovich. Eine Warnung von NHS England Digital, die sich auf sk1000155 beruft, besagt, dass der gehostete Smart-1-Cloud-Dienst nicht betroffen ist, da der Fix dort bereits vorhanden ist. Der CVE-Eintrag markiert R81.10 und die älteren Branches als End-of-Support, was bedeutet, dass der Hersteller sie nicht mehr routinemäßig wartet, aber Check Point hat laut Abramovich einen Fix für diese nicht mehr unterstützten Versionen bereit, und Kunden, die ihn benötigen, sollten ein Ticket beim Check-Point-Support einreichen.

Die Anleitung von Check Point für Administratoren besteht aus drei Teilen. Wenden Sie den in sk1000155 beschriebenen LivePatch-Fix auf jeden Security Management Server und Log Server an. Wenn automatische Updates aktiviert sind, bestätigen Sie, dass der Fix installiert wurde, anstatt es anzunehmen, denn der Befehl cplp list zeigt an, welche LivePatches installiert sind und ihren Status. Und unabhängig davon, ob der Fix installiert ist, prüfen Sie, dass der Management-Trusted-Clients-Zugriff auf bekannte, vertrauenswürdige Hosts beschränkt ist und nicht auf eine beliebige IP-Adresse eingestellt ist, und setzen Sie den Management-Zugriff nicht direkt dem Internet aus.

Automatische Updates bezieht sich auf die in sk175504 im Hardening-Leitfaden von Check Point beschriebene Einstellung. Es ist das Kontrollkästchen in SmartConsole unter Global Properties und Data Access Control mit der Bezeichnung „Automatically download and install Software Blade Contracts, security updates, and other important data (highly recommended)“, gefolgt von der Installation der Access-Control-Richtlinie. Die Bereitstellung erfolgt nicht immer sofort. Als Check Point in der Vorwoche Fixes für zwei VPN-Zertifikatsschwachstellen verteilte, schrieben mehrere Kunden in seiner Community, dass das automatische Paket ihre Systeme am Tag der Ankündigung nicht erreicht habe, und ein Community-Administrator von Check Point antwortete, es werde vermutlich schrittweise und nicht an alle gleichzeitig ausgerollt. Kunden stellten außerdem fest, dass die Download-Links in diesen Advisories erst nach der Anmeldung im User Center erschienen. Die Trusted-Clients-Einstellung selbst befindet sich in SmartConsole unter Manage & Settings, Permissions & Administrators, Trusted Clients, so der Hardening-Leitfaden, der auch besagt, dass direkter Internetzugriff auf das Management vermieden werden sollte und ein VPN erforderlich ist. Abramovich sagte, der verwundbare Pfad verlaufe nur über vertrauenswürdige Clients, und Check Point empfiehlt Kunden zu überprüfen, dass die Einstellung nicht auf eine beliebige IP-Adresse, sondern auf vertrauenswürdige Hosts gesetzt ist.

Censys sagte, es beobachte weltweit 3.836 Hosts, die die Standardidentität präsentieren, die Check Point seinen Management- und Log-Servern gibt, eine Methode, die es wählte, weil Build- und Hotfix-Level in Scandaten nicht sichtbar sind. „Diese Zahl ist die gesamte Rollenpräsenz, keine bestätigte Anzahl verwundbarer Systeme“, sagte das Unternehmen.

Nach Zählung von The Hacker News in den CVE-Einträgen von Check Point ist CVE-2026-91843 die fünfte kritische Schwachstelle seit dem 22. Juli, die ein Angreifer auf dem Security Management Server ohne Anmeldung erreichen konnte. Die erste, CVE-2026-16232, eine SmartConsole-Authentifizierungsumgehung, wurde im Juli ausgenutzt. Lotem Finkelstein von Check Point schrieb damals, sie betreffe „eine Handvoll Kunden“ in einer Konfiguration, „wenn das Management direkt ohne IP-Beschränkungen dem Internet ausgesetzt ist“. Der erste Eindämmungsschritt war damals der jetzt empfohlene: Trusted Clients auf vertrauenswürdige Adressen beschränken. CISA nahm CVE-2026-16232 am selben Tag in seinen Known-Exploited-Vulnerabilities-Katalog auf. Eine zweite an diesem Tag offengelegte Management-Umgehung, CVE-2026-62144, wurde nicht als ausgenutzt gemeldet. Zwei weitere folgten: CVE-2026-18574, eine Authentifizierungsumgehung, die die Ausführung von Befehlen auf dem Management-Server ermöglichen könnte, am 3. August, und CVE-2026-85103, ein Heap-Overflow bei der VPN-Zertifikatsdekodierung, der auch Quantum Security Management erreicht, am 9. September. Check Point sagte, beide intern gefunden zu haben und keine Hinweise auf eine Ausnutzung zu haben. Wer CVE-2026-91843 gefunden hat, wurde nicht offengelegt, und Check Point ging in seiner Antwort nicht auf diese Frage ein.

Das Muster ist der Teil, der für jede Organisation wichtig ist, deren Firewall über einen dieser Server verwaltet wird: Dieselbe Eindämmungsmaßnahme kehrt immer wieder, nämlich die Management-Schnittstelle vom offenen Internet fernzuhalten und nur von Adressen erreichbar zu machen, die man kennt. Unternehmen, die Herstelleradvisories lieber nicht selbst befolgen möchten, können sich nach einem IT-Partner umsehen, der die Systeme vor ihrem Netzwerk instand hält und gemäß den Hardening-Vorgaben des Herstellers konfiguriert, was der Art von sicherheitsorientierter IT- und Infrastrukturarbeit entspricht, um die herum unser AEU-I-Service aufgebaut ist.