Check Point lanza parche por CVE-2026-91843 que permite RCE preautenticación en servidores de

Check Point publicó un parche urgente para una falla crítica en sus Security Management Servers y Log Servers que, según la compañía, permite a un atacante remoto sin credenciales ejecutar código con privilegios de root. El error, registrado como CVE-2026-91843 y calificado por Check Point con un 9.8/10 en la escala CVSS, es un desbordamiento de pila que se activa en la rutina de inicio de sesión antes de que el usuario quede autenticado; investigaciones públicas señalan que la falla se provoca enviando una petición de login con un nombre de usuario muy largo.

Hechos confirmados: Check Point emitió un LivePatch para mitigar la vulnerabilidad (consultable en su base de conocimiento: sk1000155), afirmó no tener indicios de explotación en entornos reales y señaló que la ruta vulnerable opera únicamente a través del ajuste Trusted Clients, que define qué hosts pueden conectar al Management Server vía SmartConsole. La Agencia de Seguridad Cibernética de EE. UU. (CISA) registró “ninguna” explotación en su valoración asociada al CVE y el NVD mantiene la ficha del CVE con los detalles técnicos reportados (NVD – CVE-2026-91843).

A quién afecta: servidores de Security Management y Log Servers en las ramas y versiones indicadas por Check Point. La lista publicada incluye múltiples ramas R80/R81/R82 y varios niveles de Jumbo Hotfix Take; además Check Point confirmó que R82.20, despliegues standalone (management y gateway en la misma máquina), Log Servers y servidores Multi‑Domain también están afectados y requieren el parche o la intervención de soporte si están en versiones fuera de soporte. Organizaciones que dejen el componente de gestión expuesto directamente a Internet o con la configuración de Trusted Clients puesta a “any” son las más vulnerables.

Cómo funciona técnicamente (resumen): el proceso de login del Management Server procesa solicitudes antes de autenticar al usuario. Un desbordamiento de pila en esa rutina puede ser gatillado con una entrada especialmente larga en el campo del nombre de usuario. En una explotación exitosa, el atacante podría corromper la pila y redirigir la ejecución para obtener código con privilegios de sistema (root) en el servidor remoto. Dado que el vector opera pre‑autenticación, el requisito de credenciales se evita y la restricción principal es qué hosts pueden llegar a hablar con ese servicio —de ahí la relevancia del parámetro Trusted Clients.

Consecuencias reales posibles (confirmadas como escenarios técnicos, no como incidentes conocidos): un RCE como root en el Management Server permite alterar políticas del firewall, crear o modificar cuentas administrativas, extraer o borrar logs forenses almacenados en Log Servers y, en entornos donde la gestión y los gateways están combinados, comprometer directamente el tráfico protegido por los gateways. Esto puede traducirse en interrupción de servicios, pérdida de visibilidad de incidentes y escalada lateral dentro de la red.

Información aún incierta o estimaciones: no hay prueba pública de exploits funcionales (Censys informó que no existía un PoC público al momento de sus notas) y Check Point/CISA dicen no tener evidencias de explotación masiva; sin embargo, no es descartable que exista código de explotación privado o intento de abuso no reportado. Censys también reportó que detecta miles de hosts que presentan la identidad por defecto de los servidores de gestión (3.836 en su observación), pero eso es una presencia de rol estimada y no equivale a un conteo confirmado de sistemas vulnerables o desactualizados (Censys).

Medidas concretas e inmediatas que deben tomar los administradores (prioritarias): 1) Aplicar el LivePatch descrito en sk1000155 a todos los Security Management Servers y Log Servers. Si tiene activadas las actualizaciones automáticas, no asuma protección: verifique que el LivePatch se instaló y está activo usando la utilidad de Check Point (por ejemplo, el comando cplp list para ver LivePatches instalados y su estado). 2) Restringir Trusted Clients: confirme que la lista Trusted Clients solo contiene IPs o rangos explícitos y de confianza; no deje la opción en “any” ni permita acceso desde Internet público. 3) Evitar exponer Management Servers a Internet: coloque accesos de administración detrás de VPNs o jump hosts con controles de acceso, y segmente la red para que solo hosts de administración autorizados puedan alcanzar los servidores de gestión.

Medidas adicionales y buenas prácticas (recomendadas): despliegue inmediatamente controles compensatorios mientras aplica el parche: bloquear accesos a servicios de gestión desde redes no confiables, revisar y endurecer políticas de administración, y exigir autenticación multifactor para cuentas con privilegios administrativos. Para versiones que estén fuera de soporte y no reciban LivePatch automático, abra un ticket con Check Point para obtener la corrección que la compañía indica que puede suministrar.

Qué revisar tras aplicar el parche: auditar cambios administrativos recientes (políticas creadas/alteradas), buscar cuentas administrativas nuevas o elevadas, revisar logs de conexión y eventos sospechosos en los días previos, comprobar integridad de binarios críticos y respaldos de configuración, y monitorizar tráfico inusual entre Management Servers y gateways. En caso de indicios de compromiso, aislar el servidor afectado y contactar a soporte de Check Point y a su equipo de respuesta a incidentes.

Sobre la entrega del parche y tiempos: Check Point distribuye correcciones críticas por su canal LivePatch y por paquetes de Jumbos; sin embargo, la compañía ha reconocido que la entrega de parches automáticos puede realizarse por etapas, por lo que la ausencia de un parche en una instalación no implica falta de uno disponible —por eso la necesidad de verificar su instalación de forma explícita.

Fuentes y recursos oficiales para acción inmediata: la nota de la base de conocimiento de Check Point con la mitigación (sk1000155) y la ficha del CVE en NVD (NVD – CVE-2026-91843) son puntos de partida; para contexto sobre exposición y escaneo público, ver el trabajo y las observaciones públicas de Censys (Censys). También conviene consultar la lista de vulnerabilidades explotadas por CISA para ver si la situación evoluciona (CISA – Known Exploited Vulnerabilities).

Resumen: la vulnerabilidad es grave por permitir ejecución remota previa a autenticación y por el posible control total del servidor de gestión. Por tanto, la acción inmediata y verificable es instalar el LivePatch en todos los Management y Log Servers, restringir Trusted Clients a direcciones conocidas y evitar cualquier exposición directa a Internet mientras se completa la actualización y se realiza una verificación forense básica. Confirmadas o no las explotaciones en campo, la estrategia operativa debe priorizar parcheo y endurecimiento para cerrar un vector que facilita control total sobre la gestión de red.