Die US-Behörde CISA vermerkte in ihrer dem CVE-Eintrag beigefügten Bewertung vom 17. September die Ausnutzung als „keine". Im Known-Exploited-Vulnerabilities-Katalog war die Lücke laut einer Prüfung von The Hacker News am 17. September in der Katalogfassung vom 16. September nicht enthalten. Censys erklärte, dass zum 16. September kein öffentlicher Proof-of-Concept-Exploit existierte; Abramovich sagte, Check Point habe keinerlei Meldungen über Angriffe erhalten.
Der CVE-Eintrag listet die betroffenen Zweige jeweils nach Jumbo Hotfix Take auf, also nach der nummerierten Stufe des Update-Pakets, das die Korrekturen eines Release bündelt. Ein Server auf einem gelisteten Zweig ist betroffen, wenn er den genannten Take oder einen älteren einsetzt. R82.20 fehlt in der Aufstellung, ist laut Abramovich aber ebenfalls verwundbar. Censys schreibt in seinem Advisory, sämtliche R82.20-Builds seien betroffen und bislang schütze kein Jumbo Hotfix diesen Zweig.
Abramovich zufolge sind auch Standalone-Installationen, bei denen Management und Gateway auf einem System laufen, sowie Log Server und Multi-Domain-Server angreifbar. Ein Alert von NHS England Digital, der sich auf sk1000155 beruft, hält fest, dass der gehostete Dienst Smart-1 Cloud nicht betroffen ist, weil der Fix dort bereits eingespielt wurde. R81.10 und ältere Zweige sind im CVE-Eintrag als nicht mehr unterstützt markiert; für diese Versionen existiert laut Abramovich dennoch eine Korrektur, die Kunden über ein Ticket beim Check-Point-Support anfordern können.
Mit „automatischen Updates" ist laut Check Points Hardening Guide die in sk175504 beschriebene Einstellung gemeint — das Kontrollkästchen in der SmartConsole unter Global Properties und Data Access Control zum automatischen Herunterladen und Installieren von Software-Blade-Verträgen, Sicherheitsupdates und weiteren wichtigen Daten, gefolgt von der Installation der Access-Control-Policy. LivePatch ist der Kanal, über den dringende Sicherheitskorrekturen auf entsprechend konfigurierte Systeme gelangen.
Die Auslieferung erfolgt allerdings nicht zwangsläufig sofort. Als Check Point kürzlich Korrekturen für zwei VPN-Zertifikatslücken verteilte, berichteten mehrere Kunden in der Community, das automatische Paket sei am Tag der Ankündigung nicht auf ihren Systemen angekommen; ein Community-Administrator des Herstellers antwortete, die Verteilung erfolge vermutlich stufenweise. Zudem wurden die Download-Links in jenen Advisories erst nach Anmeldung im User Center sichtbar.
Die Einstellung Trusted Clients findet sich in der SmartConsole unter Manage & Settings, Permissions & Administrators. Der Hardening Guide rät, direkten Internetzugriff auf das Management zu vermeiden und ein VPN vorauszusetzen. Check Point empfiehlt, zu prüfen, dass Trusted Clients nicht auf beliebige IP-Adressen, sondern auf vertrauenswürdige Hosts eingeschränkt ist.
Censys beobachtet weltweit 3.836 Hosts, die die Standardkennung von Check-Point-Management- und Log-Servern zeigen — ein Ansatz, den das Unternehmen wählte, weil Build- und Hotfix-Stand in Scandaten nicht erkennbar sind. „Diese Zahl gibt die gesamte Rollenpräsenz wieder, nicht die Zahl bestätigt verwundbarer Systeme", so Censys.
Nach Zählung von The Hacker News anhand der CVE-Einträge von Check Point ist CVE-2026-91843 die fünfte kritische Lücke seit dem 22. Juli, die ein Angreifer ohne Anmeldung auf dem Security Management Server erreichen kann. Die erste, CVE-2026-16232, ein Authentifizierungs-Bypass in der SmartConsole, wurde im Juli ausgenutzt; Lotem Finkelstein von Check Point schrieb damals, betroffen sei „eine Handvoll Kunden" in einer Konfiguration, „wenn das Management ohne IP-Beschränkungen direkt aus dem Internet erreichbar ist". CISA nahm diese Lücke noch am selben Tag in den KEV-Katalog auf; ein zeitgleich offengelegter zweiter Bypass, CVE-2026-62144, galt nicht als ausgenutzt. Es folgten CVE-2026-18574 am 3. August sowie CVE-2026-85103, ein Heap-Überlauf bei der Dekodierung von VPN-Zertifikaten, am 9. September — beide fand Check Point nach eigenen Angaben intern. Wer CVE-2026-91843 entdeckt hat, ist nicht bekannt; Check Point ließ die Frage unbeantwortet.