Check Point セキュリティ管理製品の脆弱性、実際の攻撃で悪用

クリック不要で管理者権限を奪取

攻撃者が、パスワード認証を完全に回避してCheck Pointのセキュリティ管理インフラに侵入し、最高レベルの管理者権限を瞬時に取得する手口を発見しました。同社はこの脆弱性が実際の攻撃で悪用されていることを公式に確認していますが、これまでのところ影響を受けた顧客は全体のごく一部にとどまっているとしています。

CVE-2026-16232(CVSSv3.1スコア:9.1、重大度「Critical」)として識別されるこの深刻な脆弱性は、Security Management ServerとMulti-Domain Security Management Serverの両方に影響します。これらは企業がセキュリティポリシーやファイアウォール設定を統括するための中核的なプラットフォームです。詳細な対処方法や技術的な詳細については、管理者はCheck PointサポートページのSK185169を参照する必要があります。

攻撃の仕組み

この侵入を実行するのに、攻撃者は有効なユーザーアカウントもパスワードも必要としません。その代わり、リモートの攻撃者はアプリケーションサービストークンを不正に生成できます。この偽造トークンを使い、攻撃者はSmartConsoleのグラフィカルインターフェースに制限のない管理者権限でログインします。認証に成功すると、侵入者はセキュリティルールを自由に変更したり、防御機構を無効化したり、保護対象のネットワークインフラを完全に再構成したりすることが可能になります。

この攻撃が成立するには、2つの条件が重なる必要があります。管理サーバーがインターネットに公開されていること、そしてSmartConsoleの「Trusted Clients(信頼済みクライアント)」設定で明示的なIPアドレス制限が行われていないことです。したがって、管理インターフェースへの接続をあらゆる送信元から許可してしまっている組織は、直ちに侵害される最も高いリスクにさらされています。

影響を受けるバージョンと修正方法

この脆弱性は多数のソフトウェアバージョンに広く存在しており、具体的にはR77.30、R80、R80.10、R80.20、R80.30、R80.40、R81、R81.10、R81.20、R82、R82.10が対象です。なお、これらの旧バージョンの一部は既にサポート終了(EOS)ライフサイクルに達しています。

Check Pointは累積アップデートパッケージを通じて、重大な修正プログラムを迅速に展開しました。R82.10を稼働しているシステムを保護するには、管理者はJumbo Hotfix Accumulator Take 36以降を適用する必要があります。R82についてはTake 118が、R81.20についてはTake 158が必要です。同社は、すべての組織に対してこれらのアップデートを最優先で適用するよう強く推奨しています。

一時的な緩和策

正式なパッチを適用するまでの間、管理者はネットワークレベルでの厳格な分離を実施することを強く推奨されます。SmartConsoleへのアクセスは、明示的に信頼されたIPアドレスおよびサブネットのみに厳しく制限する必要があります。「Trusted Clients(信頼済みクライアント)」の設定画面では、グローバルな接続を許可してしまう「Any」という値の使用を厳格に禁止しなければなりません。さらに、境界のファイアウォールを設定し、外部の信頼できないインターネットトラフィックが管理サーバーの専用ポートに到達しないよう、確実にブロックする必要があります。

侵害の痕跡(IoC)

インシデント対応チームが侵害の可能性を特定できるよう、Check Pointは確認済みの攻撃者IPアドレス5件を公開しました。151.241.99.207、151.241.99.233、158.62.198.182、192.142.10.99、139.28.37.250です。管理者は、これらのアドレスから発信された受信トラフィックがないか、ファイアウォールの接続ログを積極的に調査する必要があります。さらに、セキュリティチームは内部の監査ログを精査し、「Authentication method: application token」という特定の手法を利用した異常なログインがないか確認する必要があります。

本記事の公開時点では、同社はこの高度な攻撃を特定の脅威アクターに帰属させることを控えており、初回の悪用が行われた正確な時期や、侵害を受けた顧客ネットワークに加えられた具体的な設定変更の内容についても明らかにしていません。