Vulnerabilità di bypass dell'autenticazione in Check Point SmartConsole (CVE-2026-16232) attualmente sfruttata attivamente

Check Point ha reso nota e risolto una vulnerabilità critica zero-day, CVE-2026-16232, che interessa la propria piattaforma di gestione SmartConsole. La vulnerabilità consiste in un bypass dell’autenticazione che consente ad aggressori remoti non autenticati di ottenere un token di accesso valido all’applicazione e di autenticarsi con privilegi di amministratore in determinate condizioni. Check Point ha confermato che la vulnerabilità è attualmente oggetto di sfruttamento attivo e ha interessato un numero limitato di clienti.

Uno sfruttamento riuscito potrebbe consentire agli autori delle minacce di ottenere l’accesso amministrativo ai server di gestione della sicurezza vulnerabili, modificare le politiche di sicurezza, alterare le configurazioni e potenzialmente indebolire il livello di sicurezza complessivo di un’organizzazione.

In risposta allo sfruttamento attivo, l’Agenzia statunitense per la sicurezza informatica e delle infrastrutture (CISA) ha aggiunto CVE-2026-16232 al proprio catalogo delle vulnerabilità note sfruttate (KEV), esortando le organizzazioni a dare priorità alle misure correttive.

Dettagli tecnici

CVE-2026-16232 è una vulnerabilità di bypass dell’autenticazione all’interno di Check Point SmartConsole che consente a un aggressore di ottenere un token di autenticazione dell’applicazione senza credenziali valide. Il token può quindi essere utilizzato per autenticarsi con privilegi amministrativi nell’infrastruttura di gestione interessata.

• Requisiti per lo sfruttamento
  • Lo sfruttamento è possibile quando:
    • Il server di gestione Check Point è accessibile da Internet.
    • Le restrizioni relative ai client attendibili non sono configurate correttamente.
    • L’accesso di gestione è consentito da indirizzi IP di origine non attendibili o senza restrizioni.

Indicatori di compromissione (IoC)

Check Point raccomanda di esaminare i registri di audit alla ricerca di prove di attività di autenticazione basate su token non autorizzate.

Revisione dei registri

Cercare nei registri di audit di SmartConsole:

• Metodo di autenticazione: token dell'applicazione

Check Point consiglia inoltre di indagare sulle attività associate ai seguenti indirizzi IP:

• 151.241.99.207
• 151.241.99.233
• 158.62.198.182
• 192.142.10.99
• 139.28.37.250

Query SmartConsole consigliata:

(src:151.241.99.207 OR dst:151.241.99.207 OR

src:151.241.99.233 OR dst:151.241.99.233 OR

src:158.62.198.182 OR dst:158.62.198.182 OR

src:192.142.10.99 O dst:192.142.10.99 O

src:139.28.37.250 O dst:139.28.37.250)

Le organizzazioni che individuano eventi di autenticazione sospetti devono avviare immediatamente le procedure di risposta agli incidenti ed effettuare una revisione completa delle modifiche apportate alle politiche tramite SmartConsole.

Misure di mitigazione e correttive

Azioni immediate

1. Applicare immediatamente gli aggiornamenti di sicurezza di Check Point a tutte le installazioni di SmartConsole interessate.
2. Limitare i client attendibili esclusivamente alle workstation di gestione autorizzate e alle sottoreti approvate.
3. Eliminare l'esposizione a Internet dei server di gestione della sicurezza, ove possibile.
4. Implementare controlli di accesso al piano di gestione, consentendo l’amministrazione solo da reti di gestione dedicate, VPN o intervalli di indirizzi IP di origine approvati.
5. Esaminare i registri di audit alla ricerca di eventi di autenticazione tramite token delle applicazioni e azioni amministrative inattese.
6. Seguire l’ultima edizione della Guida alle migliori pratiche di rafforzamento della sicurezza di Check Point per potenziare l’infrastruttura di gestione. - https://sc1.checkpoint.com/documents/Check_Point_Gateway_and_Management_Hardening/CP_Check_Point_Gateway_and_Management_Hardening.pdf

Se siete preoccupati per una delle minacce descritte in questo bollettino o avete bisogno di aiuto per determinare quali misure adottare per proteggervi dalle minacce più rilevanti che la vostra organizzazione deve affrontare, contattate il vostro account manager o, in alternativa, contattateci per scoprire come proteggere la vostra organizzazione.