Im Kern handelt es sich bei CVE-2026-16232 um eine Schwachstelle zur Umgehung der Authentifizierung in Check Points SmartConsole-GUI. Nach Angaben des Herstellers können nicht authentisierte Angreifer dadurch ein Login-Token der Anwendung erlangen, das eine Anmeldung mit Administratorrechten ermöglicht. Ist ein anfälliger Security Management Server oder Multi-Domain Security Management Server erreicht, lassen sich Sicherheitskonfiguration und Sicherheitsrichtlinien ändern.
Check Point grenzt die Voraussetzungen für eine erfolgreiche Ausnutzung klar ein. Erforderlich sei, dass Trusted Clients, also GUI-Clients, nicht eingeschränkt sind und dass die IP-Adresse des Management Servers für den Fernzugriff aus dem Internet offenliegt. In einer Mitteilung vom Sonntag erklärte das Unternehmen, eine erfolgreiche Ausnutzung erlaube die Änderung von Sicherheitsrichtlinien und Sicherheitskonfigurationen; für einen Angriff aus der Ferne müsse der Management Server über das Internet erreichbar sein und die Konfiguration dürfe Trusted Clients nicht beschränken.
Zugleich teilte Check Point mit, man wisse, dass die Schwachstelle bereits ausgenutzt werde. Betroffen sei jedoch nur eine sehr kleine Zahl von Kunden. Für Administratoren, die nicht sofort auf eine abgesicherte Version aktualisieren können, empfiehlt der Hersteller den Check Point Hardening Best Practices Guide. Außerdem sollten Trusted Clients auf vertrauenswürdige IP-Adressen oder Subnetze begrenzt und der Management-Zugriff für nicht autorisierte IP-Adressen blockiert werden.
Hinweise auf eine mögliche Kompromittierung sollen sich direkt in SmartConsole finden lassen. Dazu sollen Administratoren unter „Logs & Monitor / Logs & Events > Audit Logs View“ nach der Abfrage „Authentifizierungsmethode: Anwendungstoken“ suchen, nachdem sie die von Check Point genannte SmartConsole-Abfrage ausgeführt haben.
Auch die Cybersecurity and Infrastructure Security Agency (CISA) hat reagiert. Die US-Behörde nahm die Lücke am Mittwoch in ihren Katalog bekannter ausgenutzter Schwachstellen auf und verpflichtete Bundesbehörden, verwundbare SmartConsole-Instanzen bis Samstag, 25. Juli, zu patchen. Grundlage ist die Binding Operational Directive 26-04. CISA warnte, diese Art von Schwachstelle sei ein häufiger Angriffsvektor böswilliger Cyberakteure und berge erhebliche Risiken für die föderale IT-Landschaft.
Zwar gilt BOD 26-04 nur für US-Regierungsbehörden, doch CISA forderte alle Organisationen auf, die Behebung von CVE-2026-16232 zu priorisieren, um eingehende Angriffe zu blockieren. Die Warnung reiht sich in frühere Hinweise der Behörde zu Check-Point-Produkten ein: Im Juni ordnete CISA an, Check Point Remote Access VPN und Mobile Access gegen die ebenfalls zur Umgehung der Authentifizierung geeignete Schwachstelle CVE-2026-50751 abzusichern, die bei Zero-Day-Angriffen der Ransomware-Gruppe Qilin ausgenutzt wurde.
Bereits zwei Jahre zuvor hatte CISA eine weitere Schwachstelle, CVE-2024-24919, in Check Points Quantum Security Gateways als aktiv ausgenutzt eingestuft. Damals bestätigte die Behörde einen Bericht von Orange Cyberdefense CERT, der die Lücke mit NailaoLocker-Ransomware-Angriffen in Verbindung brachte.