Check Point dicht kritiek lek in Security Management- en Log Servers
Check Point heeft een ernstig beveiligingslek opgelost dat misbruik mogelijk maakt nog vóórdat er is ingelogd. Het gaat om een stack overflow in het inlogproces van de Security Management Server en Log Server (ook in Multi‑Domain‑varianten). Een aanvaller op afstand kan daarmee willekeurige code uitvoeren met rootrechten, authenticatie omzeilen en volledige controle over het systeem krijgen. (community.checkpoint.com)

Wat er precies aan de hand is
Het lek is geregistreerd als CVE‑2026‑91843 en krijgt een CVSS‑score van 9,8 (kritiek). De fout zit in de pre‑authenticatie login‑routine: door een bewust te lange gebruikersnaam te sturen, kan de stack overstromen en neemt de aanvaller het beheer als root over. Check Point meldt dat Smart‑1 Cloud niet kwetsbaar is. Op het moment van schrijven is er geen publiek beschikbare PoC en is misbruik in het wild nog niet bevestigd. (censys.com)

Welke versies zijn geraakt — en wat is de fix?
Check Point levert een LivePatch die dit probleem verhelpt. Voor zelfbeheerde omgevingen geldt in het kort:

• R82.20: LivePatch Take 29 of hoger
• R82.10: LivePatch Take 28 of hoger
• R82: LivePatch Take 28 of hoger
• R81.20: LivePatch Take 28 of hoger
  Let op: oudere, end‑of‑support releases (R81/R80.x) krijgen géén patch; upgrade is daar de enige remedie. (boho.or.kr)

Detectie en mitigatie

• Controleer je logs. Check Point wijst erop dat mislukte inlogpogingen met de melding “Administrator failed to log in: Username too long” kunnen wijzen op exploitatiepogingen. (bleepingcomputer.com)
• Beperk toegang tot beheerinterfaces. Zet Trusted Clients in SmartConsole op specifieke, vertrouwde IP‑ranges en volg de hardening‑richtlijnen van Check Point. Dit is een tijdelijke maatregel als patchen even niet direct kan, maar blijft sowieso best practice. (bleepingcomputer.com)
• Minimaliseer internetblootstelling. Internetscans zien nog altijd duizenden hosts met een (mogelijk) management‑rol. Dat is geen bevestiging van kwetsbaarheid, maar wel een risico‑indicator. (censys.com)

Waarom dit ertoe doet
De Security Management‑laag is het hart van je Check Point‑omgeving: wie daar binnendringt, kan policies aanpassen, gateways herconfigureren en logregistratie manipuleren. In de afgelopen maanden zagen we bovendien meer kwetsbaarheden op dit pad. Zo waarschuwde NCSC‑NL in augustus al voor een andere, actief misbruikte authenticatie‑bypass in SmartConsole (CVE‑2026‑16232). De optelsom onderstreept hoe belangrijk het is om managementsystemen snel te patchen en streng af te schermen. (advisories.ncsc.nl)

Wat je nu meteen kunt doen

• Installeer de LivePatch zoals beschreven in Check Point‑advies sk1000155; omgevingen met automatische updates zijn al beschermd. (community.checkpoint.com)
• Verifieer dat alleen beheerders vanaf expliciet toegestane IP’s bij je management kunnen.
• Check je auditlogs op de bovengenoemde foutmelding en onderzoek opvallende inlogpogingen.
• Plan, als je nog op een EOS‑versie zit, een versnelde upgrade naar een ondersteunde release. (censys.com)

Stand van zaken per 18 september 2026

• Patch beschikbaar via LivePatch; uitrol aanbevolen met hoge urgentie.
• Geen bevestigde uitbuiting in het wild, maar pre‑auth RCE tegen managementinfrastructuur wordt doorgaans snel opgepikt door aanvallers. Blijf daarom alert en handel proactief. (bleepingcomputer.com)

Kortom: update vandaag nog, scherm beheer strak af en houd je logs in de gaten. Dat is het verschil tussen “geraakt” en “gered”.

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.