Check Point corrige CVE 2026 93616 path traversal en Management Server tras ataques del 23 jul

El 23 de julio se detectaron ataques dirigidos que aprovecharon una vulnerabilidad hasta entonces desconocida en el servicio web del Security Management Server de Check Point, según la compañía. La falla, registrada como CVE-2026-93616, permite a un atacante que pueda alcanzar el servicio web del servidor subir y ejecutar scripts sin autenticación. Check Point publicó una corrección el 22 de septiembre y ha publicado orientaciones de mitigación y búsqueda de compromisos en su soporte técnico.

Hechos confirmados: Check Point ha reconocido la existencia de una vulnerabilidad de recorrido de rutas (path traversal) en el servicio web del servidor de gestión que, en versiones afectadas, no limita correctamente los archivos y carpetas accesibles por peticiones remotas. Ese fallo puede ser usado para colocar scripts en el servidor y ejecutarlos. La compañía asignó una puntuación CVSS de 9.8, publicó un hotfix y publicó guías en su portal de soporte (support.checkpoint.com). Además, Check Point confirmó intentos de explotación a partir del 12 de septiembre contra otra vulnerabilidad VPN (CVE-2026-85102) que había sido parcheada el 9 de septiembre; esos intentos apuntaron a dispositivos Spark y gateways que no habían recibido la corrección.

Lo que sigue siendo incierto y requiere confirmación adicional: Check Point no ha identificado públicamente los objetivos concretos de los ataques del 23 de julio, quiénes fueron los atacantes ni qué acciones concretas realizaron tras explotar CVE-2026-93616. Tampoco ha declarado si los intentos contra la vulnerabilidad VPN (CVE-2026-85102) llegaron a tener éxito en algún entorno. La empresa ha indicado que los intentos provinieron de infraestructura de anonimización (VPN y proxies) y que se han observado certificados con determinados sujetos, pero la lista de certificados vista no es necesariamente exhaustiva.

Técnicamente, la nueva vulnerabilidad es un path traversal en el componente web del Management Server: cuando el servicio no restringe correctamente las rutas de archivos solicitadas, una petición manipulada puede acceder a ubicaciones fuera del árbol previsto, subir archivos maliciosos y luego ejecutarlos. Esa cadena —acceso al servicio web sin autenticación, subida de script y ejecución— convierte la vulnerabilidad en un vector de ejecución remota de código con un impacto potencialmente crítico sobre la confidencialidad e integridad de la gestión de políticas de cortafuegos.

¿A quién afecta? Las versiones y builds afectadas se listan por Check Point con granularidad por "R" release y por número de Jumbo Hotfix "Take". En términos prácticos, el riesgo recae sobre administradores que gestionan Security Management Servers —centrales que controlan políticas y distribuyen configuraciones a gateways— y sobre clientes de la línea Spark y gateways que, si no están en los builds parcheados, también pueden ser objeto de intentos de explotación previos o paralelos. Dado que el servidor de gestión controla reglas y objetos de seguridad, su compromiso puede permitir a un atacante modificar reglas, crear rutas de salida, ocultar tráfico o desplegar persistencia en la infraestructura de red.

Consecuencias reales y escenarios de riesgo: un servidor de gestión comprometido puede facilitar movimientos laterales y persistencia en la red corporativa, alteración de políticas de firewall (por ejemplo, apertura de puertos o creación de reglas permitiendo tráfico no autorizado), interceptación o redirección de tráfico, y despliegue de backdoors en gateways administrados. Además, la dificultad para detectar actividad previa hace que la simple instalación del parche no sea una evidencia de que no hubo intrusión.

Medidas concretas e inmediatas que deben tomar administradores y responsables de seguridad —acciones verificables y priorizadas:

1) Verificar la versión y el Jumbo Hotfix take del Security Management Server y compararla con la lista de builds afectados proporcionada por Check Point. Si no dispone de la información, consulte la interfaz de administración y la documentación de su release. Instale el hotfix o la LivePatch indicada en el artículo de soporte correspondiente (referencia en el portal de Check Point).

2) Seguir las guías de hunting e indicadores de compromiso que Check Point publicó en su artículo de soporte (consulte su portal de soporte para sk1000171). Eso incluye revisar logs del servicio web, buscar archivos y scripts subidos recientemente en directorios web, revisar cron jobs o tareas programadas, y comprobar procesos y conexiones de red anómalas.

3) Asumir la posibilidad de compromiso si el servidor estaba en una versión vulnerable entre la ventana del 23 de julio y la publicación del parche. En esos casos, activar medidas de respuesta a incidentes: poner el Management Server en modo de mantenimiento o aislarlo de la red, recolectar y preservar logs y evidencias (antes de aplicar parches que puedan sobrescribir artefactos), y, si es necesario, recurrir a análisis forense profesional para confirmar alcance y presencia de puertas traseras.

4) Revisar la integridad de la configuración y las reglas de políticas: comparar copias de seguridad de configuraciones previas con el estado actual, inspeccionar cambios recientes en reglas que no estén justificados y validar que no existan cuentas, objetos o políticas duplicadas o modificadas sin autorización.

5) Para la vulnerabilidad VPN (CVE-2026-85102): confirmar que los gateways y dispositivos Spark han aplicado el parche publicado el 9 de septiembre (artículo de soporte relevante y mitigaciones en sk1000117). Revisar logs de Mobile Access y certificados utilizados para inicios de sesión; Check Point observó intentos con certificados que usan sujetos del tipo CN=vpn, CN=vpn-user o CN=vpnuser, pero la lista puede no ser completa. Busque inicios de sesión con certificados fuera de lo habitual y cualquier actividad posterior como escaneos internos.

6) Si no puede aplicar parches inmediatamente, implemente los workarounds aconsejados por autoridades como el NCSC neerlandés: por ejemplo, para Site-to-Site VPNs limitar el tráfico entrante de UDP 500/4500 solo a IPs de pares conocidos y deshabilitar reglas implícitas de VPN cuando proceda. Consulte la guía del NCSC para instrucciones operacionales y aplique controles de acceso de red temporales (www.ncsc.nl).

7) Rotar credenciales sensibles, certificados y claves que el Management Server pueda haber usado, una vez que la instancia haya sido limpiada o reconstruida, y revisar accesos de cuentas de administración para detectar creaciones o elevaciones de privilegio no autorizadas.

Recomendaciones a medio plazo y buenas prácticas: mantener actualizado el ciclo de parches con atención a LivePatch/Takes (las diferencias entre Jumbo Hotfix y LivePatch pueden dejar algunos builds parcialmente protegidos), segregar la consola de gestión de la red de producción, aplicar controles de acceso (listas de control de origen) para el acceso al servicio web de la gestión, y habilitar monitoreo de integridad y alertas tempranas sobre cambios en políticas críticas.

Recursos y referencias adicionales: consulte el portal de soporte de Check Point para las notas oficiales y las builds corregidas, y las guías de respuesta publicadas por equipos nacionales de ciberseguridad como el NCSC neerlandés y equipos de respuesta sectoriales (por ejemplo, el CERT Santé en Francia ha publicado resúmenes que amplifican la comunicación de Check Point). Enlaces útiles: Check Point Support (https://support.checkpoint.com) y el NCSC Países Bajos (https://www.ncsc.nl), además del sitio del CERT Salud francés (https://www.cert.sante.gouv.fr).

Distinción final: los parches y las mitigaciones son indispensables, pero no bastan para declarar un entorno "limpio". Dado que Check Point no ha hecho públicas las evidencias del alcance de los ataques de julio, la acción responsable ante servidores vulnerables es tratarlos como potencialmente comprometidos hasta que un proceso de detección y, si procede, de forense, demuestre lo contrario.