Check Point SmartConsole CVE-2026-16232: authentication bypass per l'accesso admin al management, sfruttato in rete

Il piano di gestione di Check Point è finito sotto attacco: la CVE-2026-16232 è un authentication bypass nel processo di login di SmartConsole, la console di amministrazione degli apparati Check Point, sfruttato attivamente in rete. Classificata come improper authentication (CWE-287) con CVSS 9.1, la falla consente a un attaccante remoto e non autenticato di ottenere un application login token valido e di usarlo per autenticarsi al management server con pieni privilegi di amministratore, quindi di modificare politiche di sicurezza e configurazioni.

Check Point ha confermato lo sfruttamento in rete, che il vendor descrive come limitato a un numero ristretto di clienti, e ha rilasciato il Jumbo Hotfix correttivo il 22 luglio 2026; lo sfruttamento da remoto richiede l'accesso di rete all'indirizzo IP del management server in ambienti che non restringono i Trusted Clients. La condizione è dirimente: un management server raggiungibile dalla rete, con la lista dei client fidati non adeguatamente limitata, è la configurazione esposta. Il vendor raccomanda di cercare segni di compromissione anche dopo l'applicazione della patch, in particolare dove il server di gestione è stato accessibile da internet, esaminando l'attività di amministratori, SmartConsole, API e token applicativi.

Check Point torna nel bollettino a poche settimane dalla CVE-2026-50751, il bypass di autenticazione sulla VPN IKEv1 sfruttato dal ransomware Qilin: allora il bersaglio era il gateway, qui è il cervello dell'infrastruttura, il server che governa le politiche di tutti gli apparati gestiti, e comprometterlo significa poter riscrivere le regole di sicurezza dell'intero parco. A doversene preoccupare è chi espone il management server o il Multi-Domain Management alla rete senza una restrizione stringente dei Trusted Clients, scenario che riguarda sia grandi reti sia gli MSSP che amministrano più clienti da una console centralizzata.

• Versioni affette: Check Point Security Management Server, Multi-Domain Security Management (MDS) e Security Gateway sulle release da R77.30 a R82.10 (inclusi R80, R80.10, R80.20, R80.30, R81, R81.10, R81.20 e R82).
• Azione raccomandata: applicare il Jumbo Hotfix del 22 luglio 2026 sui prodotti affetti; restringere i Trusted Clients a indirizzi IP o sottoreti specifici e proteggere il management server con regole firewall dedicate; verificare la presenza di indicatori di compromissione anche dopo la patch, esaminando i log di amministratori, SmartConsole, API e token applicativi.

Fonti: ACN, Check Point, Rapid7, Bleeping Computer