Check Point weist Sicherheitsteams auf ein konkretes Erkennungsmerkmal hin: Angriffe auf CVE-2026-91843 lassen sich anhand von Meldungen der Form „Administrator konnte sich nicht anmelden: Benutzername zu lang" in den Audit- und Admin-Login-Protokollen identifizieren.
Bereits kürzlich hatte der Hersteller eine weitere kritische Lücke zur Codeausführung aus der Ferne geschlossen. CVE-2026-85103 geht auf einen Heap-Überlauf im ASN.1-Dekodierungspfad für VPN-Zertifikate zurück und betrifft sowohl Firewalls als auch Management-Systeme von Check Point. Die Reichweite ist dabei bemerkenswert breit: „Alle Security-Management-Server-Installationen sind verwundbar, unabhängig von der Konfiguration", warnte das Unternehmen. Die Schwachstelle hänge von keiner bestimmten Management-Konfiguration ab — das Management sei selbst dann angreifbar, wenn VPN weder genutzt noch konfiguriert werde.
Am selben Tag stopfte Check Point eine zweite kritische Lücke: CVE-2026-85102 erlaubt es nicht authentifizierten Angreifern, die Authentifizierung zu umgehen und auf verwundbaren Firewalls aus der Ferne Code auszuführen.
Für diese beiden Schwachstellen liegen bislang keine Hinweise auf Ausnutzung in freier Wildbahn vor. Das niederländische Nationale Cyber Security Centrum (NCSC-NL) forderte Organisationen jedoch auf, das Einspielen der Patches für CVE-2026-85102 und CVE-2026-85103 vorrangig zu behandeln, da es „in Kürze mit Ausnutzungsversuchen rechnet".
Anders sieht die Lage bei zwei älteren Zero-Days aus, die Check Point in den vergangenen Monaten als aktiv ausgenutzt markiert hat. Die Authentifizierungsumgehung CVE-2026-50751 wurde nach Angaben des Herstellers seit Juni von einem Partner der Ransomware-Gruppe Qilin missbraucht. Eine zweite Umgehung der Authentifizierung, CVE-2026-16232, wird mindestens seit Juli ausgenutzt, um sich mit Administratorrechten an SmartConsole-Verwaltungsoberflächen anzumelden.
Damit stehen Betreiber von Check-Point-Infrastruktur derzeit vor mehreren parallel zu behandelnden Baustellen — von der neuen Root-Lücke im Anmeldeprozess über die VPN- und Firewall-Schwachstellen bis hin zu den bereits angegriffenen Authentifizierungsumgehungen.