Check Point startet CVE-2026-91843 Patch, der Pre-Authentifizierung CERs auf CVE-2026-91843 Servern erlaubt

Check Point veröffentlichte einen dringenden Patch für einen kritischen Fehler in ihren Security Management Servern und Log Servern, die nach dem Unternehmen einen Remote-Angreifer ohne Anmeldeinformationen erlauben, Code mit Root-Privilegien auszuführen. Der Fehler, aufgezeichnet als CVE-2026-91843 und durch Check Point mit einer 9.8 / 10 auf der CVSS-Skala qualifiziert, ist ein Stack-Überlauf, der in der Anmelderoutine aktiviert wird, bevor der Benutzer authentifiziert wird; öffentliche Untersuchungen weisen darauf hin, dass der Ausfall durch Senden einer Anmeldeanfrage mit einem sehr langen Benutzernamen verursacht wird.

Konfirmierte Fakten: Check Point veröffentlichte einen LivePatch, um die Schwachstelle zu mildern (betreffend seine Wissensbasis: sk1000155), erklärte, es gebe keine Anzeichen für die Ausbeutung in realen Umgebungen und stellte fest, dass die verletzliche Strecke nur durch Anpassung funktioniert Vertrauenswürdige Kunden, die definiert, welche Hosts über SmartConsole mit dem Management Server verbinden können. Die US Cyber Security Agency. US (CISA) registrierte "Nein" in seiner Bewertung im Zusammenhang mit der CVE und NVD hält die Registerkarte CVE mit den angegebenen technischen Details ( NVD - CVE-2026-91843)

Zu wem es betrifft: Security Management und Log Server Server in den von Check Point angegebenen Filialen und Versionen. Die veröffentlichte Liste enthält mehrere R80 / R81 / R82 Zweige und verschiedene Ebenen von Jumbo Hotfix Take; zusätzlich Check Point bestätigt, dass R82.20, Standalone-Installationen (Management und Gateway auf demselben Rechner), Log Server und Multi-Domain-Server sind ebenfalls betroffen und erfordern Patch- oder Support-Intervention, wenn sie in Off-Support-Versionen sind. Organisationen, die die Management-Komponente direkt dem Internet oder mit der Trusted Customers-Konfiguration "jeder" ausgesetzt sind, sind die am meisten gefährdet.

Wie es technisch funktioniert (Zusammenfassung): Der Management Server-Anmeldeprozess verarbeitet Anwendungen, bevor er den Benutzer authentifiziert. Ein Stack-Überlauf in dieser Routine kann mit einem besonders langen Eintrag in das Feld des Benutzernamens ausgelöst werden. In einer erfolgreichen Operation könnte der Angreifer den Stack verfälschen und die Ausführung umleiten, um Code mit System-Privilegien (root) auf dem Remote-Server zu erhalten. Da der Vektor vor der Authentifizierung arbeitet, wird die Anmeldepflicht vermieden und die Hauptbeschränkung ist, mit der Hosts sprechen können - damit die Relevanz des Trusted Customers-Parameters.

Mögliche reale Folgen (bestätigt als technische Szenarien, nicht als bekannte Vorfälle): Ein CER als root im Management Server ermöglicht es, Firewall-Richtlinien zu ändern, Verwaltungskonten zu erstellen oder zu ändern, forensische Protokolle in Log Servern zu extrahieren oder zu löschen und in Umgebungen, in denen Management und Gateways kombiniert werden, den durch die Gateways geschützten Verkehr direkt zu kompromittieren. Dies kann zu Serviceunterbrechung, Verlust der auffallenden Sichtbarkeit und Seitenklettern im Netzwerk führen.

Informationen noch unsicher oder Schätzungen: Es gibt keine öffentlichen Beweise für funktionale Ausbeutungen (Censys berichtete, dass es zum Zeitpunkt ihrer Notizen keine öffentliche PoC gab) und Check Point / CISA behauptet, keine Beweise für die Massenausbeutung zu haben; es ist jedoch nicht verfügbar, dass es einen privaten Ausbeutungscode oder einen nicht gemeldeten Missbrauchsversuch gibt. Censys berichtete auch, dass es Tausende von Hosts erkennt, die die Standardidentität von Management-Servern (3,836 in seiner Beobachtung), aber das ist eine geschätzte Rolle Präsenz und Nein. entspricht einer bestätigten Anzahl an gefährdeten oder veralteten Systemen ( Censys)

Spezifische und unmittelbare Maßnahmen von Managern (Priorität): 1) Apply the LivePatch beschrieben in sk1000155 auf alle Security Management Server und Log Server. Wenn Sie automatische Updates aktiviert haben, übernehmen Sie keinen Schutz: Überprüfen Sie, ob der LivePatch installiert wurde und aktiv ist mit dem Kontrollpunkt Dienstprogramm (z.B. dem Befehl cplp list, um LivePatches installiert und seinen Status zu sehen). 2) Restringir Trusted Kunden: bestätigen Sie, dass die Liste der vertrauenswürdigen Kunden nur IPs oder explizite und zuverlässige Bereiche enthält; lassen Sie die Option nicht in "any" oder erlauben Sie Zugang aus dem öffentlichen Internet. 3) Vermeiden Sie, Management-Server im Internet auszuschalten: Platzieren Sie den Administrationszugriff hinter VPNs oder springen Sie Hosts mit Zugriffskontrollen und sicherem Netzwerk, damit nur autorisierte Management-Hosts Management-Server erreichen können.

Zusätzliche Maßnahmen und bewährte Praktiken (empfohlen): sofortiger Einsatz kompensatorischer Kontrollen bei der Anwendung des Patches: blockieren Sie den Zugang zu Management-Diensten aus unzuverlässigen Netzwerken, überprüfen und stärken Sie die Management-Politik und benötigen eine Multi-Faktor-Authentifizierung für Konten mit administrativen Privilegien. Für Versionen, die nicht unterstützt werden und keine automatische LivePatch erhalten, öffnen Sie ein Check-Point-Ticket, um die Korrektur zu erhalten, die das Unternehmen anzeigt, dass Sie liefern können.

Was zu überprüfen nach der Anwendung des Patches: Audit neuer administrativer Änderungen (erstellte / geänderte Richtlinien), Suche nach neuen oder hohen administrativen Konten, überprüfen Verbindungsprotokolle und verdächtige Ereignisse in den letzten Tagen, überprüfen Integrität von kritischen Binaries und Konfigurationssicherungen, und überwachen ungewöhnlichen Verkehr zwischen Management Servern und Gateways. Im Falle von Verlobungszeichen isolieren Sie den betroffenen Server und kontaktieren Sie den Kontrollpunkt-Support und Ihr Notfall-Reaktionsteam.

Auf Patch Lieferung und Zeiten: Check Point vertreibt kritische Korrekturen für seinen LivePatch-Kanal und für Jumbos-Pakete; das Unternehmen hat jedoch erkannt, dass die Lieferung von automatischen Patches in Stufen erfolgen kann, so dass das Fehlen eines Patches in einer Anlage keinen Mangel an einem zur Verfügung stehenden - daher die Notwendigkeit, seine Installation explizit zu überprüfen.

Offizielle Quellen und Ressourcen für sofortige Maßnahmen: die Scheckpunkt Wissensbasisnote mit Minderung (sk1000155) und die CVE Registerkarte in NVD ( NVD - CVE-2026-91843) sind Ausgangspunkte; für den Kontext der öffentlichen Exposition und des Scannens siehe Arbeit und öffentliche Beobachtungen von Censys ( Censys) Die Liste der von der CISA ausgebeuteten Schwachstellen sollte auch konsultiert werden, um zu sehen, ob sich die Situation entwickelt ( CISA - Known Exploited Schwachstellen)

Zusammenfassung: Sicherheitslücke ist ernst, um eine Remote-Ausführung vor der Authentifizierung und eine mögliche Gesamtsteuerung des Managementservers zu ermöglichen. Die unverzügliche und überprüfbare Aktion besteht daher darin, das LivePatch in allen Management- und Logservern zu installieren, Trusted Customers auf bekannte Adressen zu beschränken und eine direkte Belichtung mit dem Internet zu vermeiden, während das Update abgeschlossen und eine grundlegende forensische Überprüfung durchgeführt wird. Konfirmiert oder nicht die Feldhaltungen, muss die operative Strategie das Patching und die Härtung priorisieren, um einen Vektor zu schließen, der die totale Kontrolle über das Netzwerkmanagement erleichtert.