Check Pointが、攻撃で悪用されているSmartConsoleのゼロデイ脆弱性を警告

イスラエルのサイバーセキュリティ企業Check Point Softwareは、同社のSmartConsoleグラフィカルユーザーインターフェース(GUI)管理パネルにおいて、実際に悪用が確認されているゼロデイ脆弱性への対応を行いました。

CVE-2026-16232として追跡されているこの認証バイパスの脆弱性により、未認証の攻撃者がアプリケーションのログイントークンを取得できてしまいます。このトークンを使えば、管理者権限で認証することが可能になります。

攻撃者は、脆弱性のあるSecurity Management ServerまたはMulti-Domain Security Management Server(MDS)へのアクセスを得た後、セキュリティ設定やセキュリティポリシーを変更できます。

Check Pointによると、この攻撃を成功させるには、Trusted Clients(GUIクライアント)に制限が設けられていないことと、Management ServerのIPアドレスがインターネット経由のリモートアクセスにさらされていることが条件になるとのことです。

「悪用に成功すると、攻撃者はセキュリティポリシーとセキュリティ設定を変更できるようになります。リモートからの悪用には、Management ServerのIPアドレスへのインターネットアクセスと、Trusted Clientsを制限しない設定が必要です」と同社は日曜日に公開したアドバイザリで述べています。

「Check Pointは、この脆弱性が悪用されており、ごく少数の顧客に影響が及んでいることを把握しています」

すぐにパッチ適用済みバージョンへアップグレードできない管理者は、Check Point Hardening Best Practices Guideに従い、Trusted Clientsを信頼できるIPアドレス・サブネットに限定した上で、管理アクセスが承認されていないIPアドレスからはブロックされるよう確認することが推奨されています。

SmartConsoleのインスタンスが侵害されているかどうかを確認するには、管理者は以下のSmartConsoleクエリを実行した後、SmartConsole内のLogs & Monitor / Logs & Events > Audit Logs Viewで「Authentication method: application token」というクエリを検索する必要があります。

(src:151.241.99.207 OR dst:151.241.99.207 OR src:151.241.99.233 OR dst:151.241.99.233 OR src:158.62.198.182 OR dst:158.62.198.182 OR src:192.142.10.99 OR dst:192.142.10.99 OR src:139.28.37.250 OR dst:139.28.37.250)

水曜日にはCISAもこの脆弱性を既知の悪用される脆弱性カタログに追加し、拘束的運用指令(Binding Operational Directive、BOD)26-04に基づき、米連邦政府機関に対して7月25日(土曜日)までに脆弱性のあるSmartConsoleインスタンスへパッチを適用するよう命じました。

「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃経路となっており、連邦政府機関にとって重大なリスクをもたらします」と同サイバーセキュリティ機関は警告しています。

「各関係者には、それぞれの資産のインターネット露出を評価し、BOD 26-04のパッチ適用ガイドラインを確実に遵守する責任があります」

BOD 26-04は米政府機関にのみ適用されるものですが、CISAはすべての組織に対し、進行中の攻撃を阻止するためCVE-2026-16232の脆弱性へのパッチ適用を優先するよう呼びかけています。