Check Point ha alertado sobre una vulnerabilidad crítica de día cero (CVE-2026-93616) en su infraestructura de Gestión de Seguridad. Con una puntuación CVSS de 9.8, este fallo permite que un atacante remoto no autenticado pueda cargar y ejecutar scripts arbitrarios en un servidor de gestión expuesto.

Check Point ha advertido a sus clientes que los atacantes están explotando una vulnerabilidad crítica de día cero en su infraestructura de Gestión de Seguridad. Registrada como CVE-2026-93616, el fallo tiene una puntuación CVSS de 9.8 y permite que un atacante remoto no autenticado cargue y ejecute scripts arbitrarios en un Servidor de Gestión expuesto.

Check Point afirma que ha identificado un puñado de ataques dirigidos a clientes y ha lanzado correcciones de emergencia. La vulnerabilidad combina el salto de directorio (directory traversal) con un comportamiento de carga de archivos inseguro en el servicio web de Gestión de Check Point.

Al manipular las rutas de los archivos, un atacante puede hacer que el servicio ejecute un script desde una ubicación arbitraria y cargue una clase Java arbitraria sin haberse autenticado previamente.

Por lo tanto, una explotación exitosa otorga a un adversario externo una vía para ejecutar código controlado por el atacante en un sistema altamente privilegiado que administra las políticas de seguridad y recopila datos operativos.

Explotación de un Día Cero en el Servidor de Gestión de Check Point

Check Point describió la explotación como limitada y "puntual", pero la actividad es anterior a la divulgación pública. Según la empresa, los ataques observados ocurrieron el 23 de julio de 2026, lo que convierte a la CVE-2026-93616 en un día cero porque fue abusada antes de que estuviera disponible una actualización de seguridad. El proveedor no ha atribuido públicamente las intrusiones ni ha revelado los objetivos de los atacantes, los payloads ni las organizaciones afectadas.

Los productos afectados incluyen Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server y SmartEvent.

Las versiones vulnerables incluyen R82.20; R82.10 Jumbo Hotfix Take 44 y anteriores; R82 Take 126 y anteriores; R81.20 Take 166 y anteriores; y la versión R81.10 Take 190 y anteriores (ya sin soporte). Todas las versiones R80, R80.10, R80.20, R80.30, R80.40 y R81 también están afectadas.

Smart-1 Cloud no es vulnerable porque Check Point ya ha aplicado la corrección. Los dispositivos Check Point Firewall Appliances y Check Point Spark Firewall tampoco se ven afectados por este problema en particular. No debes asumir que LivePatch proporciona protección: los LivePatch Takes 28 y 29 no remedyan la CVE-2026-93616, y Check Point indica que no habrá LivePatch disponible debido a la naturaleza de la corrección.

Debes instalar el Hotfix de Seguridad R82.20 o cambiar inmediatamente a un Jumbo Hotfix Accumulator corregido. La corrección está incluida en R82.10 Take 45, R82 Take 127, R81.20 Take 170 y R81.10 Take 192 o versiones posteriores.

Hasta que completes el parcheo, los servidores de gestión deben permanecer detrás de un Security Gateway o un firewall de Check Point, mientras que el acceso al puerto TCP 19009 debe restringirse a direcciones IP confiables. Del mismo modo, los Clientes Confiables en SmartConsole solo deben contener direcciones internas confiables.

Los responsables de respuesta a incidentes deben buscar en cada servidor de gestión, registro y SmartEvent afectado, no solo en los hosts orientados a internet. El aviso de Check Point proporciona comandos en modo experto para identificar nombres de usuario inusualmente largos en los registros cpm.elg y correlacionar esos registros con volcados de memoria (core dumps) de FWM o MDS.

También recomienda buscar errores de ReflectionUtils que indiquen que el servicio no pudo cargar un mapa allResourceFiles, y luego examinar las rutas devueltas en busca de secuencias de salto como “../”. Cualquiera de estos patrones puede indicar un intento de explotación y justifica una investigación inmediata. Los resultados positivos deben activar una investigación forense enfocada e inmediata.

Debido a que el compromiso de un servidor de gestión podría poner un plano administrativo central en manos de un atacante, aplicar el hotfix debe tener prioridad sobre el hecho de confiar únicamente en los controles de acceso.

Si tu equipo encuentra entradas sospechosas en los registros, debe preservar los logs relevantes y los volcados de memoria, aislar el servidor afectado siempre que sea operativamente posible, evaluar la actividad posterior y contactar al soporte de Check Point. El último aviso del proveedor fue actualizado el 22 de septiembre de 2026, y debes monitorearlo para obtener más indicadores o guías revisadas.