Zero-day CheckPoint Management Server
Em 22 de setembro de 2026, a Check Point publicou correções emergenciais para a CVE-2026-93616, uma vulnerabilidade crítica (CVSS 9.8) no Security Management Server que permite a um atacante sem autenticação executar código no servidor responsável por administrar os firewalls da organização. A fabricante confirmou exploração em ataques direcionados, e a CISA incluiu a falha em seu catálogo de vulnerabilidades exploradas (KEV). Um mês depois, o tema segue atual por um motivo que vai além desta CVE: em muitos ambientes, o plano de gestão da segurança de rede ainda é tratado como infraestrutura interna, quando é, na prática, o ativo mais sensível da borda.
Resumo para a liderança
- Risco: quem controla o Management Server controla as políticas de firewall, os logs e os eventos de segurança. Pode abrir regras, apagar evidências e alcançar toda a rede protegida.
- Exposição: Security Management Server, Multi-Domain Server, Log Server, Multi-Domain Log Server e SmartEvent nas versões R81.10 a R82.20 sem o hotfix. Appliances de firewall, Spark e Smart-1 Cloud não são afetados.
- Decisão: aplicar o hotfix específico. O LivePatch, mecanismo habitual de correção rápida, não resolve esta falha, e a Check Point informou que não haverá LivePatch para ela.
- Evidência: pedir ao time o Take instalado em cada servidor de gestão, o resultado da verificação de indicadores publicada pela Check Point e a confirmação de que o acesso de gestão está restrito a origens confiáveis.
O que aconteceu
A vulnerabilidade está no serviço web de gestão e combina duas fraquezas conhecidas, directory traversal (CWE-22) e upload de arquivos sem validação adequada, que juntas permitem execução remota de código antes de qualquer autenticação. Segundo a fabricante, os primeiros ataques observados datam de 23 de julho de 2026, dois meses antes da correção, e um conjunto limitado de clientes foi atingido. Os autores, as cargas utilizadas e os objetivos das intrusões não foram divulgados.
No mesmo ciclo, a Check Point tratou a CVE-2026-85102, relacionada ao acesso VPN em Security Gateways e Spark, também incluída no KEV, e a CVE-2026-91843. O governo americano deu três dias para que agências federais corrigissem as falhas, um prazo que indica a gravidade atribuída ao caso.
Versões afetadas e corrigidas
| Versão | Afetada até | Corrigida a partir de |
|---|---|---|
| R82.20 | Sem hotfix | Security Hotfix (TAR, sem reinicialização) ou Jumbo HFA Take 10 |
| R82.10 | Jumbo Take 44 | Jumbo HFA Take 45 |
| R82 | Jumbo Take 126 | Jumbo HFA Take 127 |
| R81.20 | Jumbo Take 166 | Jumbo HFA Take 170 |
| R81.10 (fim de suporte) | Jumbo Take 190 | Jumbo HFA Take 192 |
| R80.x e R81 (fim de suporte) | Todas | Sem correção: migrar |
Dois pontos merecem atenção. O primeiro é que os LivePatch Takes 28 e 29 não corrigem a falha; times que confiam no LivePatch como indicador de "ambiente atualizado" podem estar expostos sem saber. O segundo é que versões em fim de suporte não receberão correção, o que transforma a migração em item de risco, e não apenas de ciclo de vida.
Como verificar o ambiente
No próprio servidor de gestão, o Take instalado pode ser consultado pela CLI:
cpinfo -y all # versão e hotfixes instalados
installed_jumbo_take # Take do Jumbo Hotfix AccumulatorEm ambientes Multi-Domain, a verificação precisa ser feita em cada domínio e em cada Log Server, porque a exposição não se limita ao servidor principal. A Check Point publicou, no advisory sk1000171, um roteiro de verificação de indicadores de comprometimento a ser executado em todos os servidores de gestão, de log e de SmartEvent, e não apenas nos expostos à internet. Recomendamos seguir o roteiro oficial, preservar logs e core dumps em caso de correspondência e acionar o suporte do fabricante antes de qualquer ação de limpeza.
Mitigação enquanto o hotfix não é aplicado
- Restringir o acesso à porta TCP/19009 do Management Server apenas a endereços IP confiáveis.
- Posicionar o servidor de gestão atrás de um Security Gateway, conforme o guia de hardening da própria Check Point. Um Management Server com interface de gestão alcançável da internet é uma anomalia de arquitetura, independentemente da CVE.
- Em SmartConsole, limitar os Trusted Clients (Manage & Settings → Permissions & Administrators → Trusted Clients) a estações internas conhecidas.
- Tratar essas medidas como redução temporária de exposição. A correção definitiva é o hotfix.
A lição estrutural: o plano de gestão é o alvo
O caso Check Point se soma a uma sequência de incidentes em dispositivos de borda e em consoles de administração, de VPNs a controladores de rede, que têm sido os pontos de entrada preferidos de grupos avançados. A razão é econômica: um único servidor de gestão concentra o acesso a toda a política de segurança, e sua exploração dispensa a engenharia social.
Em um cenário comum em cooperativas de crédito e indústrias brasileiras, o servidor de gestão fica na mesma VLAN dos servidores de aplicação, com a porta de gestão aberta "para facilitar o acesso do parceiro de suporte". Esse desenho faz com que uma falha como a CVE-2026-93616 tenha alcance imediato sobre o ambiente inteiro. A segmentação do plano de gestão em rede dedicada, com acesso por jump host autenticado por MFA, reduz o impacto de qualquer vulnerabilidade futura no console, e não só desta.
Governança: da correção à evidência
Para instituições reguladas pelo Banco Central, a Resolução CMN 4.893 exige procedimentos de tratamento de vulnerabilidades e controles sobre serviços contratados, incluindo o parceiro que opera o firewall. Três registros sustentam a evidência de conformidade neste caso: o inventário de servidores de gestão com versão e Take; a data de aplicação do hotfix e o responsável; e o resultado da verificação de indicadores em cada servidor, com a conclusão documentada.
Processos de gestão de vulnerabilidades que priorizam pelo catálogo KEV, e não apenas pelo CVSS, teriam colocado esta correção no topo da fila no mesmo dia. Plataformas como a Vicarius automatizam essa priorização e o acompanhamento da correção em ativos de rede e servidores, reduzindo o intervalo entre a divulgação e a aplicação efetiva, que é onde a exploração acontece.
Converse com nosso time sobre a exposição do seu plano de gestão de segurança.
