Check Point corrige CVE 2026 93616 path traversal em Management Server após ataques de 23 jul

Em 23 de julho foram detectados ataques direcionados que aproveitaram uma vulnerabilidade até então desconhecida no serviço web do Security Management Server de Check Point, segundo a empresa. A falha, registrada como CVE-2026-93616, permite a um atacante que possa alcançar o serviço web do servidor subir e executar programas sem autenticação. Check Point publicou uma correção em 22 de setembro e publicou orientações de mitigação e busca de compromissos em seu suporte técnico.

Atos confirmados: Check Point reconheceu a existência de uma vulnerabilidade de percursos (path traversal) no serviço web do servidor de gestão que, em versões afetadas, não limita corretamente os arquivos e pastas acessíveis por pedidos remotos. Esse erro pode ser usado para colocar scripts no servidor e executá-los. A empresa designou uma pontuação CVSS de 9.8, publicou um hotfix e publicou guias em seu portal de suporte ( support.checkpoint.com). Além disso, Check Point confirmou tentativas de exploração a partir de 12 de setembro contra outra vulnerabilidade VPN (CVE-2026-85102) que havia sido patchada em 9 de setembro; essas tentativas apontaram para dispositivos Spark e gateways que não tinham recebido a correção.

O que ainda é incerto e requer confirmação adicional: Check Point não identificou publicamente os objetivos concretos dos ataques de 23 de julho, quem foram os atacantes ou quais ações concretas realizaram após explorar CVE-2026-93616. Também não declarou se as tentativas contra a vulnerabilidade VPN (CVE-2026-85102) chegaram a ter sucesso em algum ambiente. A empresa indicou que as tentativas provinham de infra-estruturas de anonimato (VPN e proxies) e que foram observados certificados com determinados sujeitos, mas a lista de certificados de vista não é necessariamente exaustiva.

Tecnicamente, a nova vulnerabilidade é um path traversal no componente Web do Management Server: quando o serviço não restringe corretamente as rotas de arquivos solicitadas, uma petição manipulada pode acessar locais fora da árvore prevista, subir arquivos maliciosos e depois executá-los. Essa cadeia – acesso ao serviço web sem autenticação, subida de script e execução – torna a vulnerabilidade em um vetor de execução remota de código com um impacto potencialmente crítico sobre a confidencialidade e integridade da gestão de políticas de corta-fogos.

Quem afeta? As versões e builds afetadas são listadas por Check Point com granularidade por "R" release e por número de Jumbo Hotfix "Take". Em termos práticos, o risco recai sobre administradores que gerem a Security Management Servers — centrais que controlam políticas e distribuem configurações a gateways — e sobre clientes da linha Spark e gateways que, se não estiverem nos builds adesivos, também podem ser objeto de tentativas de exploração prévia ou paralelos. Uma vez que o servidor de gestão controla as regras e os objectos de segurança, o seu compromisso pode permitir que um atacante altere as regras, crie rotas de saída, esconder o tráfego ou implantar a persistência da infra-estrutura de rede.

Consequências reais e cenários de risco: um servidor de gestão comprometido pode facilitar movimentos laterais e persistência na rede corporativa, alteração de políticas de firewall (por exemplo, abertura de portos ou criação de regras permitindo tráfego não autorizado), interceptação ou redireccionamento de tráfego, e implantação de backdoors em gateways administrados. Além disso, a dificuldade para detectar atividade prévia faz com que a simples instalação do adesivo não seja uma evidência de que não houve intrusão.

Medidas concretas e imediatas a tomar administradores e responsáveis pela segurança —ações verificáveis e priorizadas:

1) Verificar a versão e o Jumbo Hotfix take do Security Management Server e comparar com a lista de builds afetados fornecida pela Check Point. Se não tiver informação disponível, consulte a interface de administração e documentação da sua release. Instale o hotfix ou o LivePatch indicado no artigo de suporte correspondente (referência no portal de Check Point).

2) Seguir os guias de hunting e indicadores de compromisso que o Check Point publicou no seu artigo de suporte (veja seu portal de suporte para sk1000171). Isso inclui rever logs do serviço web, pesquisar arquivos e scripts recentemente publicados em diretórios web, revisar cron jobs ou tarefas agendadas, e verificar processos e conexões de rede anormais.

3) Assumir a possibilidade de compromisso se o servidor estava numa versão vulnerável entre a janela de 23 de julho e a publicação do adesivo. Nesses casos, ativar medidas de resposta a incidentes: colocar o Management Server em modo de manutenção ou isolá-lo da rede, coletar e preservar logs e evidências (antes de aplicar adesivos que possam sobrepor artefatos), e, se necessário, recorrer a análise forense profissional para confirmar alcance e presença de portas traseiras.

4) Rever a integridade da configuração e das regras políticas: comparar cópias de segurança de configurações prévias com o estado atual, inspecionar mudanças recentes em regras que não sejam justificadas e validar que não existam contas, objetos ou políticas duplicadas ou modificadas sem autorização.

5) Para a vulnerabilidade VPN (CVE-2026-85102): confirmar que os gateways e dispositivos Spark aplicaram o adesivo publicado em 9 de setembro (artigo de suporte relevante e mitigações em sk1000117). Rever logs do Mobile Access e certificados utilizados para inícios de sessão; Check Point observou tentativas com certificados que usam sujeitos do tipo CN=vpn, CN=vpn-user ou CN=vpnuser, mas a lista pode não ser completa. Procure logins com certificados fora do normal e qualquer atividade posterior como digitalização interna.

6) Se não puder aplicar adesivos imediatamente, aplique os workarounds aconselhados por autoridades como o NCSC neerlandês: por exemplo, para o Site-to-Site VPNs limitar o tráfego entrante de UDP 500/4500 apenas para IPs de pares conhecidos e desativar regras implícitas de VPN quando aplicável. Consulte o guia NCSC para instruções operacionais e aplique controlos de acesso de rede temporárias ( www.ncsc.nl).

7) Rotar credenciais sensíveis, certificados e chaves que o Management Server possa ter usado, uma vez que a instância tenha sido limpa ou reconstruída, e rever acessos de contas de administração para detectar criações ou elevações de privilégio não autorizadas.

Recomendações a médio prazo e boas práticas: manter atualizado o ciclo de adesivos com atenção ao LivePatch/Takes (as diferenças entre Jumbo Hotfix e LivePatch podem deixar alguns builds parcialmente protegidos), segregar a consola de gestão da rede de produção, aplicar controles de acesso (listas de controle de origem) para o acesso ao serviço web da gestão, e ativar monitoramento de integridade e alertas precoces sobre mudanças políticas críticas.

Recursos e referências adicionais: consulte o portal de suporte de Check Point para as notas oficiais e builds corrigidas, e os guias de resposta publicados por equipes nacionais de cibersegurança como o NCSC neerlandês e equipamentos de resposta setoriais (por exemplo, o CERT Santé em França publicou resumos que amplificam a comunicação de Check Point). Ligações úteis: Check Point Support ( https://support.checkpoint.com) e NCSC Países Baixos ( https://www.ncsc.nl), além do sítio do CERT Saúde francês ( https://www.cert.sante.gouv.fr).

Distinção final: os adesivos e as mitigações são indispensáveis, mas não bastam para declarar um ambiente "limpo". Uma vez que a Check Point não tem tornado públicas as evidências do alcance dos ataques de julho, a ação responsável perante servidores vulneráveis é tratá-los como potencialmente comprometidos até que um processo de detecção e, se for caso disso, de forense, demonstre o contrário.