Falha zero-day crítica em servidores da Check Point permite execução remota sem autenticação
A Check Point corrigiu uma vulnerabilidade crítica em seus servidores de gerenciamento que já estava sendo explorada antes de sua divulgação. Identificada como CVE-2026-93616, a falha recebeu pontuação CVSS 9,8 e pode permitir que um atacante remoto, sem credenciais, envie e execute scripts no equipamento afetado.
O ataque combina uma falha de travessia de diretório com um mecanismo inseguro de envio de arquivos. Com isso, o invasor pode escapar do caminho previsto para o armazenamento e gravar um script em um local onde ele seja executado. Como não é necessário se autenticar, a exploração não depende de uma conta válida no sistema.
O impacto potencial é elevado porque os produtos vulneráveis ocupam uma posição central na infraestrutura de segurança. A lista inclui Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server e SmartEvent. Esses sistemas podem administrar políticas de segurança e reunir registros de diferentes partes do ambiente corporativo.
A empresa identificou ataques direcionados em 23 de julho, antes da publicação dos detalhes da vulnerabilidade. Segundo a Check Point, a atividade observada foi limitada e pontual. Não foram divulgadas informações sobre os responsáveis, os objetivos dos ataques ou as organizações afetadas.
Estão vulneráveis as versões R82.20; R82.10 com Jumbo Hotfix Take 44 ou anterior; R82 com Take 126 ou anterior; R81.20 com Take 166 ou anterior; e R81.10 com Take 190 ou anterior. Todas as versões das linhas R80.x e R81.x também são apontadas como afetadas.
Para corrigir o problema, a Check Point disponibilizou um Security Hotfix para a versão R82.20. As versões corrigidas são R82.10 Take 45, R82 Take 127, R81.20 Take 170 e R81.10 Take 192, ou qualquer edição posterior aplicável.
A instalação da correção deve ser tratada como prioridade, especialmente em servidores acessíveis por redes externas ou por segmentos amplos da organização. Antes da atualização, as equipes devem confirmar a versão e o nível de hotfix instalados em cada equipamento, identificar sistemas expostos e planejar a aplicação de acordo com os procedimentos operacionais da empresa.
Como medida adicional, a recomendação é manter os servidores de gerenciamento protegidos por um Security Gateway e limitar o acesso à porta TCP 19009 a endereços confiáveis. Restringir essa comunicação reduz a superfície de ataque e evita que sistemas não autorizados alcancem diretamente os serviços envolvidos.
A aplicação do hotfix não deve substituir a investigação de possíveis invasões anteriores. Como houve exploração antes da divulgação pública, organizações que utilizavam versões vulneráveis precisam verificar se houve atividade suspeita durante o período de exposição. A atualização interrompe a exploração da falha corrigida, mas, por si só, não confirma que o servidor não tenha sido comprometido anteriormente.
Para procurar indícios, a Check Point recomenda analisar o arquivo de log cpm.elg. Entre os sinais que merecem atenção estão nomes de usuário com comprimento incomum e erros de ReflectionUtils que contenham sequências associadas à travessia de diretório. Esses elementos devem ser avaliados no contexto do horário, do sistema afetado e de outros registros disponíveis.
Caso sejam encontrados indícios suspeitos, a equipe de segurança deve preservar os registros, ampliar a análise para os sistemas administrados pelo servidor e investigar alterações recentes em arquivos e configurações. Também é importante revisar acessos administrativos e comunicações originadas no equipamento, sem apagar evidências antes de documentá-las.
A falha reforça a importância de proteger os planos de gerenciamento da infraestrutura. Servidores que concentram políticas e logs podem oferecer a um invasor um ponto de apoio valioso, mesmo quando os demais componentes da rede estão atualizados. Por isso, controle de acesso, segmentação, monitoramento contínuo e correção rápida precisam fazer parte de uma mesma estratégia de defesa.