Investigadores detectaron una vulnerabilidad crítica (CVE-2026-16232) en servidores de gestión de Check Point que permite saltar la autenticación. Un atacante remoto podría obtener privilegios de administrador total para modificar políticas de seguridad. Se recomienda aplicar urgentemente los parches publicados el 22 de julio de 2026.






Investigadores de ciberseguridad han compartido detalles técnicos adicionales sobre un fallo de seguridad crítico recientemente parcheado que afecta al Servidor de Gestión de Seguridad de Check Point y al Servidor de Gestión de Seguridad Multi-Dominio (MDS), el cual ha estado bajo explotación activa.

La vulnerabilidad, identificada como CVE-2026-16232 (puntuación CVSS: 9.3), es un salto de autenticación en el proceso de inicio de sesión de SmartConsole que permite a un atacante remoto no autenticado obtener un token de inicio de sesión de la aplicación y usarlo para autenticarse con privilegios administrativos completos.

"Aprovechando el CVE-2026-16232, un atacante no autenticado puede obtener un token de inicio de sesión de la aplicación, utilizar este token para iniciar sesión a través de SmartConsole con privilegios completos de administrador y modificar la política de seguridad o la configuración de seguridad", afirmó Rapid7.

Para que la explotación sea exitosa, el atacante debe tener acceso de red al Servidor de Gestión y una configuración que no restrinja los Clientes de Confianza. Check Point ha revelado que es consciente de que unos pocos clientes han sido blanco de este fallo como un día cero.

El análisis de Rapid7 sobre la vulnerabilidad ha descubierto que la causa raíz es un "límite de confianza roto" en la ruta de autenticación de la aplicación que permite al actor de amenazas iniciar sesión en un dispositivo vulnerable a través de SmartConsole con privilegios de administrador completos.


Específicamente, se ha encontrado que un servidor vulnerable acepta un nombre distinguido (DN) de Comunicación Interna Segura (SIC) proporcionado por el atacante como la identidad de una aplicación remota, en lugar de vincular esa identidad al DN del certificado de pares remoto autenticado devuelto por una función llamada "getCertificateDnName()".

Como resultado, un atacante puede leer el propio SIC DN del servidor de gestión durante la comunicación de arranque no autenticada y autenticarse como una aplicación remota reproduciendo ese DN del servidor de gestión, obteniendo un token de inicio de sesión de la aplicación y luego creando un nuevo ticket de inicio de sesión único (SSO) de SmartConsole a través de la sesión de aplicación falsificada.



El parche introducido por Check Point garantiza que los clientes remotos utilicen el DN del certificado de pares remoto autenticado, provocando que se rechace cualquier discrepancia entre el DN proporcionado y esa identidad autenticada. También añade una nueva comprobación de identidad vacía que impide el inicio de sesión de una aplicación remota cuando no hay una identidad SIC autenticada.

"Para que el DN del servidor proporcionado sobreviva a las comprobaciones parcheadas, el atacante necesitaría un certificado de cliente autenticado cuyo DN de sujeto ya coincida con ese DN del servidor, lo que elimina el salto de autenticación", señaló Stephen Fewer de Rapid7.

Rapid7 ha publicado un script de Python de prueba de concepto (PoC) que puedes usar para validar con éxito si un objetivo es vulnerable o si ya ha sido parcheado contra el fallo.

Se recomienda a los clientes que apliquen los Jumbo Hotfixes publicados por Check Point el 22 de julio de 2026 para remediar el fallo lo antes posible.

Fuente:
THN