Check Point dicht kritieke lek in Security Management en Log Servers

Check Point heeft een ernstig beveiligingslek gerepareerd in de Management Web Service van zijn Security Management- en Logging‑platform. Het gaat om een pre‑auth directory‑traversal, waardoor een aanvaller zonder in te loggen scripts vanaf willekeurige paden kan uitvoeren. Dat kan uitmonden in remote code execution. Het lek wordt actief misbruikt en werd door Check Point als zero‑day geclassificeerd. Misbruik is volgens het bedrijf voor het eerst gezien op 23 juli 2026. Op 22 september 2026 is een update uitgebracht. (blog.checkpoint.com)

Wat er precies fout ging
De kwetsbaarheid (CVE-2026-93616) zit in de Management Web Service. Door padmanipulatie kan een aanvaller een script of Java‑class laten uitvoeren dat normaliter niet bereikbaar hoort te zijn. Daardoor komt de volledige management‑omgeving in gevaar, inclusief Log Servers en SmartEvent. Dit raakt dus niet alleen het beheer zelf, maar ook monitoring en rapportage. (blog.checkpoint.com)

Wie is kwetsbaar?
Check Point noemt impact op Security Management-installaties met onder meer:

• R82.20
• R82.10 Jumbo Hotfix Take 44 of lager
• R82 Jumbo Hotfix Take 126 of lager
• R81.20 Jumbo Hotfix Take 166 of lager
• R81.10 Jumbo Hotfix Take 190 of lager (end‑of‑support)
• R80, R80.10, R80.20, R80.30, R80.40, R81 (allen end‑of‑support)
  De fix is beschikbaar en moet met voorrang worden geïnstalleerd. (blog.checkpoint.com)

Waarom deze bug extra risicovol is
Omdat het om een pre‑auth aanval gaat, hoeft een aanvaller geen geldige beheerdersrechten te hebben. Toegang tot de managementpoort is genoeg. De managementcommunicatie van Check Point verloopt in R80 en hoger onder meer via TCP/19009; als die poort openstaat naar het internet of onvoldoende is afgeschermd, vergroot dat het risico aanzienlijk. (sc1.checkpoint.com)

Aanbevolen acties

• Patch direct. Installeer de door Check Point uitgebrachte fix voor CVE-2026-93616. Controleer of jouw exacte release en Jumbo Hotfix‑take zijn afgedekt. (blog.checkpoint.com)
• Scherm de managementinterface af. Zorg dat TCP/19009 uitsluitend bereikbaar is vanaf vertrouwde beheer‑IP’s (allow‑list) en nooit rechtstreeks vanaf het internet. Dit advies sluit aan bij de richtlijnen van het NCSC‑NL. (advisories.ncsc.nl)
• Beperk “Trusted Clients”. Controleer in SmartConsole of alleen expliciete, interne beheeradressen toegang hebben. (sc1.checkpoint.com)
• Controleer op sporen van misbruik sinds 23 juli 2026. Kijk naar ongebruikelijke management‑acties, nieuwe of gewijzigde adminaccounts en onverwachte scriptuitvoering op de Management‑ en Log Servers. Check Point verwijst in zijn advisory naar concrete hunting‑stappen en IOC’s. (blog.checkpoint.com)

Extra context: eerdere managementlekken
Deze zero‑day volgt op de SmartConsole‑kwetsbaarheid CVE‑2026‑16232, een authenticatie‑omzeiling die Check Point op 22 juli 2026 heeft gepatcht. Ook daar gold: systemen met publiek toegankelijke managementpoorten en breed ingestelde Trusted Clients liepen het meeste risico. Het onderstreept dat technische updates én streng toegangsbeheer samen nodig zijn. (securityweek.com)

Kortom

• Installeer de nieuwste update voor CVE‑2026‑93616 zonder uitstel.
• Zet de managementpoort TCP/19009 achter de firewall en sta alleen vertrouwde IP’s toe.
• Controleer je omgeving op verdachte management‑activiteiten sinds 23 juli 2026.

Met deze stappen verklein je het aanvalsoppervlak direct en voorkom je dat de management‑laag een springplank wordt naar al je gateways en logsystemen. (advisories.ncsc.nl)

---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ---- ----
Opzoek naar de laatste updates uit onze securitylog?
Inhoud mede mogelijk gemaakt door OpenAI.