Die ausgenutzte Schwachstelle CVE-2026-16232 betrifft Check Points Produkte Security Management und Multi-Domain Management. Check Point beschreibt sie als Authentifizierungsumgehung, mit der sich ein Anmeldetoken für die Anwendung beschaffen lässt. Dieses Token kann danach für die Anmeldung an der SmartConsole mit vollständigen Administratorrechten verwendet werden.

Laut Check Point konnten Angreifer auf diesem Weg Änderungen an Sicherheitsrichtlinien und an der Konfiguration vornehmen. Das Unternehmen erklärte, man habe die Schwachstelle bereits bei Angriffen „in freier Wildbahn“ beobachtet. Betroffen gewesen sei eine begrenzte Zahl von Kunden, deren Management-Umgebungen direkt aus dem Internet erreichbar waren und nicht durch IP-Beschränkungen abgesichert wurden.

Check Point hat nach eigenen Angaben Patches und Gegenmaßnahmen veröffentlicht. Zusätzlich stellte der Hersteller Kompromittierungsindikatoren für Angriffe bereit, die CVE-2026-16232 ausnutzen. Kunden, die gezielt angegriffen wurden, seien privat benachrichtigt worden.

Die US-Behörde CISA hat CVE-2026-16232 am Mittwoch in ihren KEV-Katalog aufgenommen, also in die Liste der bekannten aktiv ausgenutzten Schwachstellen. Bundesbehörden in den USA wurden angewiesen, das Problem bis zum 25. Juli zu beheben.

Für Check Point ist es bereits die dritte Schwachstelle, die in der KEV-Liste von CISA auftaucht. Zuvor waren dort bereits CVE-2026-50751 aufgenommen worden, die Angreifer im Mai als Zero-Day ausnutzten, sowie CVE-2024-24919, die Bedrohungsakteure 2024 missbrauchten.

Mit den jüngsten Updates schließt Check Point neben CVE-2026-16232 noch zwei weitere Lücken. CVE-2026-62144 ist eine kritische Schwachstelle zur Umgehung der Authentifizierung und Rechteausweitung in Security Management und Multi-Domain Management. CVE-2026-62145 ist eine Schwachstelle mit hohem Schweregrad für lokale Rechteausweitung in den Produkten Firewall, Multi-Domain Management und Multi-Domain Log Server.

Alle drei Schwachstellen wurden laut Check Point intern entdeckt. Eine Analyse habe jedoch ergeben, dass CVE-2026-16232 bereits als Zero-Day ausgenutzt worden war, bevor der Patch vorlag.

Wer hinter den aktuellen Angriffen steckt, ist laut Bericht unklar. Erwähnt wird lediglich, dass die Ransomware-Gruppe Qilin kürzlich dabei beobachtet wurde, Check-Point-Appliances ins Visier zu nehmen.