Check Point ha lanzado un parche de seguridad urgente para corregir la vulnerabilidad CVE-2026-91843. Se trata de un desbordamiento de búfer crítico que permitiría a un atacante remoto no autenticado ejecutar código arbitrario con privilegios de root en sistemas de registro y gestión de seguridad vulnerables. Este fallo tiene una puntuación CVSS 3.1 de 9.8, debido a que es accesible por red, de baja complejidad y no requiere privilegios previos.

Check Point ha lanzado un parche de seguridad urgente para CVE-2026-91843, un desbordamiento de búfer basado en pila crítico que podría permitir que un atacante remoto no autenticado ejecute código arbitrario con privilegios de root en sistemas de registro y gestión de seguridad vulnerables.

El fallo tiene una puntuación CVSS 3.1 de 9.8, lo que refleja un ataque accesible a través de la red que requiere baja complejidad, ningún privilegio y ninguna interacción del usuario.

La vulnerabilidad ocurre durante el inicio de sesión, donde un nombre de usuario excesivamente largo controlado por el atacante puede provocar un desbordamiento de pila antes de que se complete la autenticación.

Una explotación exitosa podría otorgar a un adversario el nivel más alto de control del sistema operativo, exponiendo potencialmente datos de gestión, políticas de seguridad, información de administradores y registros recopilados, permitiendo además comprometer más a fondo el entorno protegido.

La vulnerabilidad de Check Point permite el acceso root

Check Point no ha descrito públicamente la cadena de explotación ni ha dicho haber observado ataques en entornos reales. Los productos afectados incluyen Security Management Server, Multi-Domain Security Management Server, Log Server y Multi-Domain Log Server.

Las versiones vulnerables comprenden R82.20; R82.10 con Jumbo Hotfix Take 44 o anterior; R82 con Take 126 o anterior; R81.20 con Take 166 o anterior; y la versión R81.10 con Take 190 o anterior, que ya no tiene soporte. R80 hasta R80.40 y R81, que también han llegado al fin de su soporte, siguen estando afectadas.

Según el aviso publicado por Check Point, la compañía afirma que Smart-1 Cloud no es vulnerable porque la corrección ya ha sido desplegada en ese entorno.

Debes examinar inmediatamente los registros de inicio de sesión de Admin y SmartConsole en busca del mensaje “Administrator failed to log in: Username too long”.

Esta entrada puede indicar un intento de enviar la entrada sobredimensionada asociada al fallo, aunque tu equipo debería investigar la actividad circundante antes de tratarlo como prueba de un compromiso exitoso a nivel de root.

Conserva las direcciones de origen relevantes, las marcas de tiempo, los eventos de inicio de sesión del administrador, los cambios de configuración y los procesos inusuales del servidor de gestión para el análisis de respuesta ante incidentes.

Check Point ha entregado la corrección a través de Check Point LivePatch. Los clientes que tengan habilitadas las actualizaciones de seguridad automáticas bajo sk175504 deberían recibir la protección automáticamente, pero tú, como administrador, debes verificar el despliegue en lugar de asumir que tienes la cobertura.

Los paquetes offline están disponibles como actualización de seguridad urgente Take 29 para R82.20 y Take 28 para R82.10, R82 y R81.20. El LivePatch debe instalarse en cada servidor de Log, Security Management y Multi-Domain Security Management afectado.

Puedes validar la protección entrando en el modo Experto y ejecutando cplp list en cada servidor de registro o gestión. Un sistema protegido debería mostrar el parche fwm:fwm en estado “armed” con modo “livepatch” y CVE-2026-91843 en el campo de comentarios.

Hasta que se confirme la remediación, debes restringir los Clientes Confiables de SmartConsole a direcciones IP o subredes aprobadas a través de Manage & Settings, Permissions & Administrators y Trusted Clients.

Check Point advierte específicamente que no selecciones “Any” como tipo de cliente. Debido a que el compromiso otorgaría acceso root sin credenciales, las interfaces de gestión expuestas y las versiones sin soporte justifican una acción inmediata, tratando la migración a una rama soportada como una prioridad y no como un sustituto de la aplicación del parche disponible.

Fuentes:
https://cybersecuritynews.com/check-point-root-access-flaw/