Aktiv ausgenutzte Sicherheitslücke zur Umgehung der Authentifizierung in der Check Point SmartConsole (CVE-2026-16232)

Check Point hat eine kritische Zero-Day-Sicherheitslücke (CVE-2026-16232) offengelegt und behoben, die die Verwaltungsplattform „SmartConsole“ betrifft. Bei der Schwachstelle handelt es sich um eine Umgehung der Authentifizierung, die es nicht authentifizierten Angreifern aus der Ferne ermöglicht, unter bestimmten Bedingungen ein gültiges Anmeldetoken für die Anwendung zu erlangen und sich mit Administratorrechten zu authentifizieren. Check Point bestätigte, dass die Sicherheitslücke aktiv ausgenutzt wird und eine begrenzte Anzahl von Kunden betroffen ist.

Eine erfolgreiche Ausnutzung könnte es Angreifern ermöglichen, administrativen Zugriff auf anfällige Security Management Server zu erlangen, Sicherheitsrichtlinien zu ändern, Konfigurationen anzupassen und möglicherweise die allgemeine Sicherheitslage eines Unternehmens zu schwächen.

Als Reaktion auf die aktive Ausnutzung hat die US-Behörde für Cybersicherheit und Infrastruktursicherheit (CISA) CVE-2026-16232 in ihren Katalog „Known Exploited Vulnerabilities“ (KEV) aufgenommen und Organisationen dringend aufgefordert, Abhilfemaßnahmen Priorität einzuräumen.

Technische Details

CVE-2026-16232 ist eine Schwachstelle zur Umgehung der Authentifizierung innerhalb der Check Point SmartConsole, die es einem Angreifer ermöglicht, ohne gültige Anmeldedaten ein Anwendungs-Authentifizierungstoken zu erhalten. Das Token kann anschließend genutzt werden, um sich mit Administratorrechten bei der betroffenen Verwaltungsinfrastruktur zu authentifizieren.

• Voraussetzungen für die Ausnutzung
  • Eine Ausnutzung ist möglich, wenn:
    • Der Check Point Management Server ist über das Internet erreichbar.
    • Die Einschränkungen für vertrauenswürdige Clients nicht ordnungsgemäß konfiguriert sind.
    • Der Verwaltungszugriff von nicht vertrauenswürdigen oder uneingeschränkten Quell-IP-Adressen aus ist zulässig.

Indikatoren für eine Kompromittierung (IoCs)

Check Point empfiehlt, die Audit-Protokolle auf Anzeichen für unbefugte tokenbasierte Authentifizierungsaktivitäten zu überprüfen.

Protokollüberprüfung

Durchsuchen Sie die SmartConsole-Auditprotokolle nach:

• Authentifizierungsmethode: Anwendungstoken

Check Point rät außerdem dazu, Aktivitäten im Zusammenhang mit den folgenden IP-Adressen zu untersuchen:

• 151.241.99.207
• 151.241.99.233
• 158.62.198.182
• 192.142.10.99
• 139.28.37.250

Empfohlene SmartConsole-Abfrage:

(src:151.241.99.207 ODER dst:151.241.99.207 ODER

src:151.241.99.233 ODER dst:151.241.99.233 ODER

src:158.62.198.182 ODER dst:158.62.198.182 ODER

src:192.142.10.99 ODER dst:192.142.10.99 ODER

src:139.28.37.250 ODER dst:139.28.37.250)

Organisationen, die verdächtige Authentifizierungsereignisse feststellen, sollten unverzüglich Maßnahmen zur Reaktion auf Sicherheitsvorfälle einleiten und eine umfassende Überprüfung der über die SmartConsole vorgenommenen Richtlinienänderungen durchführen.

Abhilfemaßnahmen und Korrekturen

Sofortmaßnahmen

1. Wenden Sie die Sicherheitsupdates von Check Point unverzüglich auf alle betroffenen SmartConsole-Bereitstellungen an.
2. Beschränken Sie „Trusted Clients“ ausschließlich auf autorisierte Verwaltungs-Workstations und genehmigte Subnetze.
3. Entfernen Sie, wo immer möglich, die Internetanbindung der Sicherheitsmanagement-Server.
4. Implementieren Sie Zugriffskontrollen auf der Verwaltungsebene, sodass die Verwaltung nur über dedizierte Verwaltungsnetzwerke, VPNs oder genehmigte Quell-IP-Bereiche möglich ist.
5. Überprüfen Sie die Audit-Protokolle auf Ereignisse zur Authentifizierung mit Anwendungstoken und unerwartete administrative Aktionen.
6. Befolgen Sie den aktuellen Check Point-Leitfaden für Best Practices zur Absicherung, um die Verwaltungsinfrastruktur zu stärken. - https://sc1.checkpoint.com/documents/Check_Point_Gateway_and_Management_Hardening/CP_Check_Point_Gateway_and_Management_Hardening.pdf

Wenn Sie Bedenken hinsichtlich einer der in diesem Bulletin beschriebenen Bedrohungen haben oder Hilfe bei der Ermittlung geeigneter Maßnahmen benötigen, um sich vor den für Ihr Unternehmen relevantesten Bedrohungen zu schützen, wenden Sie sich bitte an Ihren Kundenbetreuer oder kontaktieren Sie uns, um zu erfahren, wie Sie Ihr Unternehmen schützen können.