Check Point corrige CVE-2026-93616, un zero-day explotado contra servidores de gestión
Check Point corrige CVE-2026-93616, un zero-day explotado contra servidores de gestión
CVE-2026-93616 permite cargar y ejecutar scripts sin autenticación en servidores de gestión Check Point. El fabricante confirmó ataques y publicó hotfixes urgentes.
Qué ocurrió
Check Point confirmó explotación activa de CVE-2026-93616, una falla de recorrido de directorios y carga de archivos con CVSS 9,8. Un atacante sin credenciales puede introducir y ejecutar scripts arbitrarios en el servidor de gestión.
El fabricante indicó que un número reducido de clientes fue atacado antes de la divulgación pública. CISA incorporó la vulnerabilidad a su catálogo KEV el 22 de septiembre y fijó el 25 de septiembre como fecha de remediación para agencias federales estadounidenses.
Sistemas afectados e impacto
La exposición comprende Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server y SmartEvent. Una intrusión en este plano central puede afectar políticas, registros y administración de los gateways conectados.
Están afectadas R82.20; R82.10 hasta Jumbo Hotfix Take 44; R82 hasta Take 126; R81.20 hasta Take 166; R81.10 hasta Take 190 y ramas R80/R81 fuera de soporte. Smart-1 Cloud ya fue corregido y los appliances Check Point Firewall y Spark Firewall no están afectados por esta CVE.
Corrección y contención
El LivePatch Take 28/29 no soluciona el problema. Check Point distribuyó un hotfix específico para R82.20 y correcciones en Jumbo Hotfix Take 45 o posterior para R82.10, Take 127 o posterior para R82, Take 170 o posterior para R81.20 y Take 192 o posterior para R81.10.
- Aplicar de inmediato el hotfix correspondiente a la rama instalada.
- Restringir TCP/19009 a direcciones internas de confianza y limitar los Trusted Clients.
- Buscar en cpm.elg nombres de usuario anormalmente largos, errores de ReflectionUtils y rutas con secuencias ../; preservar registros y volcados si aparecen coincidencias.
- Tratar todo indicio positivo como un posible compromiso del plano de gestión y activar respuesta a incidentes.
Prioridad defensiva
La combinación de ejecución remota previa a la autenticación, explotación confirmada y control administrativo central justifica prioridad crítica. Las organizaciones deben inventariar también servidores de registros y SmartEvent, no solo el servidor principal de gestión.
Fuentes y referencias
Esta publicación es una síntesis original. Consulte las fuentes primarias para información técnica completa y actualizaciones.
- 1SecurityWeek ↗prensa especializada
- 2
- 3Check Point sk1000171 ↗fabricante
¿Esta amenaza puede afectar a su empresa?
ENERIT puede ayudarle a evaluar exposición, priorizar remediaciones y fortalecer su operación de ciberseguridad.
Hablar con un especialista