攻撃者は、Check Pointのセキュリティゲートウェイ(ファイアウォール)にポリシーを配信する管理サーバー、Check Point Security ManagementおよびMulti-Domain Security Managementに影響する重大な認証バイパスの脆弱性(CVE-2026-16232)を悪用しています。
「認証されていない攻撃者がアプリケーションのログイントークンを取得し、それを使ってSmartConsoleに完全な管理者権限でログインし、セキュリティポリシーやセキュリティ設定に変更を加えることが可能です」と同社は述べています。
この脆弱性はすでに悪用されていることが確認されており、「一握り」の顧客が影響を受け、通知を受けたとのことです。
対処・軽減策・調査
CVE-2026-16232は、Check Point Security ManagementおよびMulti-Domain Security Managementのサポート対象バージョン、およびサポート終了バージョンの複数に影響します。サポート対象バージョンであるR81.20、R82、R82.10には修正パッチが提供されています。
「リモートからの悪用を成功させるには、管理サーバーのIPアドレスへのインターネットアクセスが可能であり、かつTrusted Clients(GUIクライアント)に制限が設けられていないことが条件となります」とCheck Pointは指摘しています。
したがって、顧客が提供されている「ジャンボホットフィックス」を直ちに適用できない場合は、Trusted Clientsを信頼できるIPアドレスやサブネットに限定し、さらに管理アクセスをファイアウォールで保護して信頼できるIPアドレスのみに制限することで、悪用のリスクを軽減できます。
Check Pointはまた、今回の攻撃に関連するIPアドレスのリストを公開し、顧客がこの情報を使って自社が影響を受けていないかを確認する方法についても案内しています。
Check PointのコミュニティフォーラムCheckMatesのMVPコントリビューターは、「管理サーバーは単なる管理システムの一つではありません。セキュリティポリシー、管理者権限、管理対象ゲートウェイ、VPN設定、脅威防御の設定、ポリシーのインストール、ロギングやモニタリングといった重要なセキュリティ機能を制御しています」と指摘しています。
「管理プレーンに影響する脆弱性は、セキュリティアーキテクチャ全体の信頼モデルを揺るがしかねません。管理サーバーがインターネットに直接公開されていない組織であっても、修正を先延ばしにすべきではありません。ネットワーク制限は露出を減らしますが、脆弱なコード自体を取り除くわけではないからです」
米国のサイバーセキュリティ・インフラセキュリティ庁(CISA)は、CVE-2026-16232を既知の悪用された脆弱性(Known Exploited Vulnerabilities)カタログに追加し、米連邦政府の民間機関に対して7月25日までの対応と、攻撃を受けていないかどうかの調査を義務付けました。
その他修正された脆弱性
Check Pointが公開したジャンボホットフィックスでは、以下の脆弱性も修正されています。
- CVE-2026-62144: 同様に重大な脆弱性で、認証されていない攻撃者が管理サーバー上で管理者権限のコマンドを実行できるほか、その後管理対象のセキュリティゲートウェイ上でもコマンドを実行できてしまうもの
- CVE-2026-62145: 管理サーバーやセキュリティゲートウェイ上で動作するCheck PointのLinuxベースOS向けWebベース管理インターフェースであるGaia Portalの脆弱性で、読み取り専用アクセス権を持つ認証済み攻撃者がrootとしてコマンドを実行できてしまうもの
これらについては現時点で実際の悪用は確認されていません。また後者については管理サーバーだけでなく、Check Pointのファイアウォール(Check Point Spark Gatewaysを除く)にも影響します。
翻訳元: https://www.helpnetsecurity.com/2026/07/23/check-point-vulnerability-cve-2026-16232/
