Check Point lança adesivo por CVE-2026-91843 que permite RCE pré-autenticação em servidores de

Check Point publicou um sistema urgente para uma falha crítica em seus Security Management Servers e Log Servers que, segundo a empresa, permite a um atacante remoto sem credenciais executar código com privilégios de root. O erro, registrado como CVE-2026-91843 e qualificado por Check Point com 9.8/10 na escala CVSS, é um excesso de pilha que se ativa na rotina de início de sessão antes que o usuário quede autenticado; pesquisas públicas sinalizam que a falha se provoca enviando um pedido de login com um nome de usuário muito longo.

Atos confirmados: Check Point emitiu um LivePatch para mitigar a vulnerabilidade (consultable em sua base de conhecimento: sk1000155) afirmou não ter indícios de exploração em ambientes reais e observou que a rota vulnerável opera apenas através do ajuste Trusted Clients, que define quais hosts podem ligar ao Management Server via SmartConsole. A Agência de Segurança Cibernética dos EUA. EUA (CISA) registrou “ninguna” exploração na sua avaliação associada ao CVE e o NVD mantém a ficha do CVE com os detalhes técnicos relatados ( NVD – CVE-2026-91843).

A quem afeta: servidores de Security Management e Log Servers nos ramos e versões indicadas por Check Point. A lista publicada inclui vários ramos R80/R81/R82 e vários níveis de Jumbo Hotfix Take; além disso, Check Point confirmou que R82.20, implantaçãos standalone (management e gateway na mesma máquina), Log Servers e servidores Multi-Domain também estão afetados e exigem o adesivo ou a intervenção de suporte se estiverem em versões fora de suporte. Organizações que deixem o componente de gestão exposto diretamente à Internet ou com a configuração do Trusted Clients posta a “any” são as mais vulneráveis.

Como funciona tecnicamente (resumen): o processo de login do Management Server processa pedidos antes de autenticar o usuário. Um excesso de pilha nessa rotina pode ser gatillado com entrada especialmente longa no campo do nome de usuário. Em uma exploração bem sucedida, o atacante poderia corromper a pilha e redireccionar a execução para obter código com privilégios de sistema (root) no servidor remoto. Dado que o vetor opera pré-autenticação, o requisito de credenciais é evitado e a restrição principal é que hosts podem chegar a falar com esse serviço - daí a relevância do parâmetro Trusted Clients.

Consequências reais possíveis (confirmadas como cenários técnicos, não como incidentes conhecidos): um RCE como root no Management Server permite alterar políticas do firewall, criar ou modificar contas administrativas, extrair ou apagar logs forenses armazenados no Log Servers e, em ambientes onde a gestão e os gateways estão combinados, comprometer diretamente o tráfego protegido pelos gateways. Isso pode traduzir-se em interrupção de serviços, perda de visibilidade de incidentes e escalada lateral dentro da rede.

Informações ainda incertas ou estimativas: não há prova pública de exploits funcionais (Censys informou que não existia um PoC público no momento de suas notas) e Check Point/CISA dizem não ter evidências de exploração maciça; no entanto, não é descartável que exista código de exploração privado ou tentativa de abuso não reportado. Censys também relatou que detecta milhares de hosts que apresentam a identidade por defeito dos servidores de gestão (3.836 em sua observação), mas isso é uma presença de papel estimada e não equivale a um conteo confirmado de sistemas vulneráveis ou desatualizados ( Censys).

Medidas concretas e imediatas a tomar pelos administradores (prioritárias): 1) Aplicar o LivePatch descrito em sk1000155 a todos os Security Management Servers e Log Servers. Se você tiver actualizações automáticas, não asuma proteção: verifique se o LivePatch foi instalado e está ativo usando a utilidade do Check Point (por exemplo, o comando cplp list para ver o LivePatches instalados e seu estado). 2) Restringir Trusted Clients: confirme que a lista Trusted Clients contém apenas IPs ou intervalos explícitos e de confiança; não deixe a opção em “any” nem permita acesso da Internet pública. 3) Evitar expor o Management Servers à Internet: coloque acessos de administração por trás de VPNs ou jump hosts com controles de acesso, e segmente a rede para que apenas hosts de administração autorizados possam alcançar os servidores de gestão.

Medidas adicionais e boas práticas (recomendadas): implantação imediata de controlos compensatórios enquanto aplica o adesivo: bloquear acessos a serviços de gestão de redes não confiáveis, rever e endurecer políticas de administração, e exigir autenticação multifator para contas com privilégios administrativos. Para versões que estejam fora de suporte e não recebem o LivePatch automático, abra um ticket com Check Point para obter a correção que a empresa indica que pode fornecer.

O que rever depois de aplicar o adesivo: auditar mudanças administrativas recentes (políticas criadas/alteradas), procurar contas administrativas novas ou elevadas, rever logs de conexão e eventos suspeitos nos dias anteriores, verificar integridade de binários críticos e respaldos de configuração, e monitorar tráfego incomum entre Management Servers e gateways. Em caso de indícios de compromisso, isolar o servidor afetado e contactar o suporte de Check Point e seu computador de resposta a incidentes.

Sobre a entrega do adesivo e tempos: Check Point distribui correções críticas pelo seu canal LivePatch e por pacotes de Jumbos; no entanto, a empresa reconheceu que a entrega de adesivos automáticos pode ser realizada por etapas, pelo que a ausência de um adesivo em uma instalação não implica falta de um disponível - por isso a necessidade de verificar sua instalação de forma explícita.

Fontes e recursos oficiais para ação imediata: a nota da base de conhecimento de Check Point com a mitigação (sk1000155) e a ficha do CVE em NVD ( NVD – CVE-2026-91843) são pontos de partida; para contexto sobre exposição e digitalização pública, ver o trabalho e as observações públicas da Censys ( Censys). Também convém consultar a lista de vulnerabilidades exploradas pela CISA para ver se a situação evolui ( CISA – Known Exploited Vulnerabilities).

Resumo: a vulnerabilidade é grave por permitir a execução remota antes da autenticação e pelo possível controlo total do servidor de gestão. Portanto, a ação imediata e verificável é instalar o LivePatch em todos os Management e Log Servers, restringir Trusted Clients a endereços conhecidos e evitar qualquer exposição direta à Internet enquanto a atualização é completa e realizada uma verificação forense básica. Confirmadas ou não as explorações em campo, a estratégia operacional deve priorizar adesivos e endurecimento para fechar um vetor que facilita controle total sobre a gestão de rede.