A Check Point corrigiu uma vulnerabilidade crítica que vinha sendo explorada como zero day em seus servidores de gerenciamento. Identificada como CVE-2026-93616, a falha recebeu pontuação CVSS 9.8 e permite que um atacante remoto e sem autenticação carregue e execute scripts no equipamento.
A exploração combina travessia de diretório com um comportamento inseguro no envio de arquivos. Na prática, o invasor escapa do diretório previsto e grava um script em local onde ele acaba sendo executado.
O alvo agrava o quadro. São afetados o Security Management Server, o Multi-Domain Security Management Server, o Log Server, o Multi-Domain Log Server e o SmartEvent, ou seja, os sistemas que administram a política de segurança de todo o parque e concentram os registros.
A empresa identificou ataques direcionados em 23 de julho, antes da divulgação pública da falha. A exploração foi descrita como limitada e pontual, e a Check Point não revelou quem está por trás, qual o objetivo ou quais organizações foram atingidas.
Estão vulneráveis as versões R82.20, R82.10 com Jumbo Hotfix Take 44 ou anterior, R82 com Take 126 ou anterior, R81.20 com Take 166 ou anterior, R81.10 com Take 190 ou anterior, além de todas as linhas R80.x e R81.x.
As correções estão no Security Hotfix para a R82.20 e nas versões R82.10 Take 45, R82 Take 127, R81.20 Take 170 e R81.10 Take 192 ou posteriores.
Além de aplicar o hotfix, a orientação é manter os servidores de gerenciamento atrás de um Security Gateway e restringir o acesso à porta TCP 19009 a endereços confiáveis. Para procurar sinais de comprometimento, a empresa indica revisar o log cpm.elg atrás de nomes de usuário anormalmente longos e de erros de ReflectionUtils contendo sequências de travessia de diretório.
