Check Point schließt aktiv ausgenutzte Zero-Day-Lücke im Security Management Server

Zusammenfassung

Check Point Software hat außerplanmäßige Hotfixes veröffentlicht, um eine kritische Schwachstelle im Security Management Server zu beheben. Über die als CVE-2026-93616 geführte Path-Traversal-Lücke können nicht authentifizierte Angreifer beliebige Skripte auf verwundbaren Management-Servern hochladen und ausführen – die Angriffe gelten als wenig komplex. Der Security Management Server ist in Unternehmensnetzen die zentrale Instanz, die Sicherheitsrichtlinien speichert und verwaltet, Änderungen von Administratoren verarbeitet und Systemprotokolle einsammelt. Ein erfolgreicher Zugriff trifft damit die Steuerzentrale der Sicherheitsinfrastruktur. Nach Angaben des Herstellers wird die Lücke bereits ausgenutzt: „Diese Schwachstelle wird in freier Wildbahn ausgenutzt. Check Point sind einige wenige Kunden bekannt, die angegriffen wurden“, heißt es in der Warnung des Unternehmens. Sicherheitsteams sollen ihre Netzwerke anhand der im Sicherheitshinweis veröffentlichten Kompromittierungsindikatoren auf Spuren erfolgreicher Angriffe prüfen. Behoben ist das Problem im R82.20 Security Hotfix. Betroffen sind laut Check Point Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server sowie SmartEvent. Für Kunden, die den Hotfix nicht sofort einspielen können, nennt der Hersteller vorübergehende Gegenmaßnahmen – unter anderem den Betrieb der betroffenen Systeme hinter einer Firewall und die Beschränkung des Zugriffs auf vertrauenswürdige IP-Adressen.

Die Zugriffsbeschränkung lässt sich im SmartConsole-Dashboard unter „Manage & Settings > Permissions & Administrators > Trusted Clients“ konfigurieren. Damit sollen verwundbare Systeme gehärtet werden, bis der Hotfix ausgerollt ist.

Path-Traversal-Schwachstellen stehen seit Längerem in der Kritik: Die US-Behörde CISA und das FBI fordern Softwarehersteller seit Mai 2024 auf, derartige Schwachstellen vor der Auslieferung aus ihren Produkten zu entfernen. Solche Sicherheitsprobleme würden, so die Behörden, „seit mindestens 2007 als ‚unverzeihlich‘ bezeichnet“.

Für Check Point ist es nicht der erste Fall dieser Art in jüngerer Zeit. Vor zwei Jahren hatte die CISA eine Lücke in den Quantum Security Gateways (CVE-2024-24919) als aktiv ausgenutzt eingestuft; Ransomware-Gruppen nutzten sie in Angriffen, wie ein Bericht des Orange Cyberdefense CERT bestätigte, der die Attacken mit der NailaoLocker-Ransomware in Verbindung brachte.

Ein Affiliate der Qilin-Ransomware hat zudem seit Juni einen Zero-Day zur Umgehung der Authentifizierung (CVE-2026-50751) ausgenutzt. Eine zweite Authentifizierungsumgehung (CVE-2026-16232) wird mindestens seit Juli eingesetzt, um sich mit Administratorrechten an SmartConsole-Verwaltungsoberflächen anzumelden.

Vor zwei Wochen warnte auch das niederländische National Cyber Security Centre (NCSC-NL) Organisationen davor, zwei kritische VPN-Schwachstellen von Check Point (CVE-2026-85102 und CVE-2026-85103) dringend zu patchen – die Behörde „erwartet, dass bald Ausnutzungsversuche erfolgen“.

Zuletzt veröffentlichte Check Point am Freitag Sicherheitsupdates für eine weitere kritische Authentifizierungsumgehung (CVE-2026-16232) im Anmeldeprozess von Security Management Server und Security Gateways. Angreifer können darüber Code mit Root-Rechten auf Managementsystemen ausführen. Als aktiv ausgenutzt hat das Unternehmen diese Lücke bislang nicht eingestuft, verweist Sicherheitsteams zur Erkennung von Angriffen aber auf Meldungen vom Typ „Administrator failed to log in: Username too long“ („Anmeldung des Administrators fehlgeschlagen: Benutzername zu lang“) in den Audit- und Admin-Anmeldeprotokollen.

Check Point schließt aktiv ausgenutzte Zero-Day-Lücke im Security Management Server

Ähnliche Artikel

Neueste Artikel