Vulnerabilità Check Point consente agli aggressori di eseguire codice come root

Una vulnerabilità critica di Check Point, tracciata come CVE-2026-91843, potrebbe consentire a un aggressore senza credenziali di accesso di eseguire codice come root su Check Point Security Management e Log Server attraverso la rete. Root è il livello di accesso più alto su un sistema Linux, quindi il codice eseguito come root può fare tutto ciò che la macchina è in grado di fare. Il Security Management Server è il sistema che controlla le policy del firewall e l'accesso degli amministratori, il che lo rende una delle macchine più sensibili in una rete aziendale. Check Point valuta la falla 9,8 su 10 sulla scala CVSS, una misura ampiamente utilizzata di quanto sia grave una vulnerabilità, e ha rilasciato una correzione attraverso il suo canale di aggiornamento LivePatch, la via che l'azienda utilizza per distribuire correzioni di sicurezza urgenti. Check Point afferma di non avere indicazioni che la falla sia stata sfruttata.

La debolezza è uno stack overflow nel processo di login, la parte del software che gestisce le richieste prima che un utente sia stato autenticato. Uno stack overflow è un errore di programmazione in cui un programma scrive più dati in una piccola area di memoria riservata di quanti ne possa contenere, il che può consentire a un aggressore di prendere il controllo del programma. L'azienda di scansione Internet Censys ha dichiarato che l'overflow viene attivato da una richiesta di login che contiene un nome utente molto lungo. Check Point ha detto a The Hacker News che il percorso vulnerabile passa solo attraverso l'impostazione Trusted Clients, che controlla quali host sono autorizzati a connettersi al server di gestione tramite SmartConsole, la console amministrativa.

Check Point ha pubblicato un avviso sulla sua community CheckMates il 16 settembre 2026, affermando che i clienti con aggiornamenti automatici abilitati sono già protetti e che tutti gli altri dovrebbero applicare la correzione LivePatch descritta nell'advisory sk1000155. Ha esortato i clienti ad agire immediatamente a causa della gravità della falla e del potenziale impatto. "Al momento, non vi è alcuna indicazione che questa vulnerabilità sia stata sfruttata in natura", si legge nell'avviso. La Cybersecurity and Infrastructure Security Agency (CISA) degli Stati Uniti ha registrato lo sfruttamento come "nessuno" nella sua valutazione allegata al record CVE il 17 settembre. La falla non era nel catalogo Known Exploited Vulnerabilities della CISA, un elenco di falle che gli aggressori sono noti per utilizzare, al momento del rilascio del catalogo del 16 settembre, che The Hacker News ha verificato il 17 settembre. Censys ha dichiarato che al 16 settembre non esisteva alcun exploit proof-of-concept pubblico. Aviv Abramovich, vicepresidente della gestione prodotti per la sicurezza di rete di Check Point, ha detto a The Hacker News che l'azienda non aveva ricevuto alcuna segnalazione di sfruttamento.

Il record CVE di Check Point elenca i rami interessati per Jumbo Hotfix Take, il livello numerato del pacchetto di aggiornamento che raccoglie le correzioni per una release. Un server su un ramo elencato al Take elencato o a uno precedente è interessato. R82.10 è interessato al Jumbo Hotfix Take 44 o inferiore; R82 al Take 126 o inferiore; R81.20 al Take 166 o inferiore; e R81.10 al Take 190 o inferiore, insieme a R81, R80.40, R80.30, R80.20, R80.10 e R80, tutti fuori supporto. Il record non elenca R82.20, ma Abramovich ha detto che anche R82.20 è vulnerabile, e Censys ha affermato nel suo advisory che ogni build R82.20 è interessata e che nessun Jumbo Hotfix protegge ancora quel ramo.

Anche le distribuzioni standalone, che eseguono il server di gestione e il gateway su un unico sistema, sono vulnerabili, così come i Log Server e i server Multi-Domain, ha detto Abramovich. Un avviso di NHS England Digital, citando sk1000155, afferma che il servizio ospitato Smart-1 Cloud non è interessato perché la correzione è già in atto lì. Il record CVE contrassegna R81.10 e i rami più vecchi come fuori supporto, il che significa che il fornitore non li mantiene più di routine, ma Check Point ha una correzione pronta per quelle versioni fuori supporto, secondo Abramovich, e i clienti che ne hanno bisogno dovrebbero aprire un ticket con il supporto Check Point.

Le indicazioni di Check Point per gli amministratori si articolano in tre parti. Applicare la correzione LivePatch descritta in sk1000155 a ogni Security Management Server e Log Server. Se gli aggiornamenti automatici sono abilitati, confermare che la correzione sia stata installata invece di presumerlo, perché il comando cplp list mostra quali LivePatch sono installati e il loro stato. E indipendentemente dal fatto che la correzione sia installata, verificare che l'accesso dei Trusted Clients di gestione sia limitato a host noti e affidabili e non sia impostato su qualsiasi indirizzo IP, e non esporre l'accesso di gestione direttamente a Internet.

Aggiornamenti automatici si riferisce all'impostazione descritta in sk175504 nella guida di hardening di Check Point. È la casella di controllo in SmartConsole sotto Global Properties e Data Access Control etichettata "Automatically download and install Software Blade Contracts, security updates, and other important data (highly recommended)", seguita dall'installazione della policy di Access Control. La consegna non è sempre immediata. Quando Check Point ha distribuito correzioni per due falle nei certificati VPN la settimana precedente, diversi clienti hanno scritto nella sua community che il pacchetto automatico non era arrivato sui loro sistemi il giorno dell'annuncio, e un amministratore della community di Check Point ha risposto che presumibilmente veniva distribuito a fasi anziché a tutti contemporaneamente. I clienti hanno anche scoperto che i link di download in quegli advisory apparivano solo dopo aver effettuato l'accesso allo User Center. L'impostazione Trusted Clients stessa è in SmartConsole sotto Manage & Settings, Permissions & Administrators, Trusted Clients, secondo la guida di hardening, che afferma anche che l'accesso diretto a Internet alla gestione dovrebbe essere evitato e che è richiesta una VPN. Abramovich ha detto che il percorso vulnerabile passa solo attraverso client attendibili, e Check Point raccomanda ai clienti di verificare che l'impostazione non sia su qualsiasi indirizzo IP ma su host affidabili.

Censys ha dichiarato di osservare 3.836 host in tutto il mondo che presentano l'identità predefinita che Check Point assegna ai suoi server di gestione e log, un metodo scelto perché il livello di build e hotfix non è visibile nei dati di scansione. "Questa cifra è la presenza totale del ruolo, non un conteggio confermato di vulnerabili", ha detto l'azienda.

Secondo il conteggio di The Hacker News dei record CVE di Check Point, CVE-2026-91843 è la quinta falla critica dal 22 luglio che un aggressore potrebbe raggiungere sul Security Management Server senza effettuare l'accesso. La prima, CVE-2026-16232, un bypass di autenticazione di SmartConsole, è stata sfruttata a luglio. Lotem Finkelstein di Check Point ha scritto allora che riguardava "una manciata di clienti" in una configurazione, "quando Management è esposto direttamente a Internet senza restrizioni IP". Il primo passo di mitigazione allora era quello raccomandato ora: limitare i Trusted Clients ad indirizzi affidabili. CISA ha aggiunto CVE-2026-16232 al suo catalogo Known Exploited Vulnerabilities lo stesso giorno. Un secondo bypass di gestione divulgato quel giorno, CVE-2026-62144, non è stato segnalato come sfruttato. Ne sono seguiti altri due: CVE-2026-18574, un bypass di autenticazione che potrebbe consentire l'esecuzione di comandi sul server di gestione, il 3 agosto, e CVE-2026-85103, un heap overflow nella decodifica dei certificati VPN che raggiunge anche Quantum Security Management, il 9 settembre. Check Point ha detto di aver trovato entrambi internamente e di non avere indicazioni di sfruttamento. Chi ha trovato CVE-2026-91843 non è stato divulgato, e Check Point non ha affrontato la questione nella sua risposta.

Il modello è la parte che conta per qualsiasi organizzazione il cui firewall è gestito attraverso uno di questi server: la stessa mitigazione continua a ripresentarsi, cioè tenere l'interfaccia di gestione fuori da Internet aperto e raggiungibile solo da indirizzi che si riconoscono. Le aziende che preferiscono non seguire da sole gli advisory dei fornitori possono cercare un partner IT che mantenga i sistemi davanti alla loro rete aggiornati e configurati secondo le linee guida di hardening del fornitore stesso, che è il tipo di lavoro di sicurezza informatica e infrastruttura su cui è costruito il nostro servizio AEU-I.