Indice dell'articolo
Aggiornamento del 24 settembre 2026: Check Point ha confermato lo sfruttamento attivo e ha aggiunto la nuova CVE-2026-93616 al perimetro operativo di questo articolo.
Rischio e azione: chi gestisce gateway, Spark Firewall o server di management Check Point deve verificare subito versione, Jumbo Hotfix e esposizione. Il vendor ha confermato lo sfruttamento attivo di CVE-2026-85102 e della nuova CVE-2026-93616, entrambe con CVSS 9,8. Applicare la correzione blocca nuovi tentativi; non dimostra però che i sistemi fossero integri prima della patch.
Due vulnerabilità, due superfici diverse
CVE-2026-85102 consente esecuzione di codice da remoto senza autenticazione durante la gestione dei certificati VPN. Colpisce Security Gateway e Spark Firewall nelle release indicate dal vendor. La correzione è disponibile dal 9 settembre, ma Check Point riferisce tentativi osservati dal 12 settembre contro clienti Spark, provenienti anche da VPN e proxy.
CVE-2026-93616 riguarda invece il servizio web di Security Management. Una combinazione di directory traversal e caricamento di file può permettere a un attaccante non autenticato di eseguire script arbitrari. Sono interessati Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server e SmartEvent. Smart-1 Cloud risulta già corretto; firewall appliance e Spark Firewall non sono coinvolti da questa seconda CVE.
Versioni e prerequisiti da verificare
Per CVE-2026-93616 il perimetro comprende R82.20, R82.10 con Jumbo Hotfix Take 44 o precedente, R82 con Take 126 o precedente, R81.20 con Take 166 o precedente e R81.10 con Take 190 o precedente. Le release R80, R80.10, R80.20, R80.30, R80.40 e R81 sono fuori supporto. Check Point precisa che LivePatch Take 28/29 non corregge questa vulnerabilità.
Prima dell’intervento registrate prodotto, ruolo, release, build, take installato, cluster membership, stato dei backup e accessi amministrativi. Per il management controllate anche chi può raggiungere TCP/19009: la mitigazione ufficiale richiede accesso limitato ai soli indirizzi attendibili e una lista Trusted Clients realmente ristretta.
Patching e risposta all’incidente
Per CVE-2026-85102 cercate login Mobile Access anomali basati su certificato e attività successive degli utenti sospetti, inclusi tentativi di scansione interna. I subject di certificato pubblicati dal vendor sono indicatori utili ma non esaustivi: una ricerca limitata a quei valori può produrre un falso senso di sicurezza.
Per CVE-2026-93616 Check Point segnala attacchi mirati osservati il 23 luglio. Su ogni server interessato occorre applicare gli indicatori e i comandi di hunting pubblicati in sk1000171, preservando prima log e configurazione. Un riscontro positivo richiede isolamento controllato, acquisizione delle evidenze e rotazione delle credenziali secondo il piano di risposta; non basta installare il Jumbo Hotfix.
Checklist operativa
- Inventariare gateway, Spark, management, log server, SmartEvent e nodi multi-domain.
- Annotare release, build, take, ruolo HA, esposizione VPN e raggiungibilità di TCP/19009.
- Salvare configurazione e log prima di patch, riavvii o modifiche alle regole.
- Installare la correzione esatta indicata negli advisory Check Point per ogni ramo.
- Limitare TCP/19009 e Trusted Clients agli indirizzi amministrativi strettamente necessari.
- Verificare cluster, VPN, policy install, login amministrativo e raccolta log dopo l’intervento.
- Cercare login certificato anomali, scansioni interne e gli IoC di sk1000171.
- Aprire un incidente quando emergono tracce coerenti; non cancellarle con ripristini prematuri.
- Pianificare la migrazione delle release fuori supporto: l’assenza di fix non equivale a assenza di rischio.
Limiti della valutazione
Gli indicatori pubblicati descrivono ciò che Check Point ha osservato finora e non garantiscono l’assenza di tecniche differenti. La priorità deriva da sfruttamento confermato, accesso senza autenticazione e ruolo perimetrale o amministrativo dei sistemi coinvolti. La verifica va adattata alla topologia reale, documentando orari e risultati, senza esporre il management durante le attività di emergenza.
Devi verificare versioni, hotfix e tracce senza interrompere VPN e servizi? Richiedi una valutazione tecnica a MSP In Cloud.