Check Point SmartConsole CVE-2026-16232: Admin-Bypass

Check Point SmartConsole CVE-2026-16232 steht jetzt auf der Known-Exploited-Vulnerabilities-Liste der CISA: Ein nicht authentifizierter Angreifer kann ein Login-Token faelschen und vollen Administratorzugriff auf die Konsole erhalten, die die gesamte Firewall-Flotte eines Unternehmens verwaltet. Check Point hat die Luecke am 22. Juli gepatcht und bestaetigt, dass bereits eine Handvoll Kunden angegriffen wurde. Die BOD-26-04-Frist der US-Bundesbehoerden lief am 25. Juli ab — fuer alle, die dies am Montag lesen, bereits abgelaufen.

Was ist passiert

Check Point SmartConsole CVE-2026-16232 (CVSS 9,3 laut CVE.org, von manchen Medien mit 9,1 angegeben) ist eine Authentifizierungs-Bypass-Schwachstelle im SmartConsole-Login-Prozess, die Check-Point-Security-Management-Server und Multi-Domain-Security-Management-Server (MDS) betrifft. Ein nicht authentifizierter Angreifer erhaelt beim Login-Vorgang ein Applikations-Login-Token und nutzt es, um sich mit vollen Administratorrechten zu authentifizieren — ohne Benutzername, Passwort oder MFA. Einmal drin, kann der Angreifer Sicherheitsrichtlinien und -konfigurationen ueber alle Gateways hinweg lesen und umschreiben, die dieser Management-Server verwaltet.

Die Ausnutzung erfordert eine bestimmte, haeufig anzutreffende Fehlkonfiguration: Die IP-Adresse des Management-Servers ist aus dem Internet erreichbar, ohne dass Trusted Clients (GUI-Clients) eingeschraenkt sind. Lotem Finkelstein, VP of Research bei Check Point, erklaerte, die Luecke sei bei einer routinemaessigen internen Pruefung entdeckt worden und eine „Handvoll Kunden“ sei bestaetigt angegriffen worden; Smart-1-Cloud-Kunden waren nicht betroffen, alle identifizierten Betroffenen wurden direkt informiert. Check Point patchte am selben Tag zwei verwandte Schwachstellen: CVE-2026-62144 (CVSS 9,3, Authentifizierungs-Bypass mit beliebiger Admin-Befehlsausfuehrung, u. a. run-script und exec-command auf verwalteten Gateways) und CVE-2026-62145 (CVSS 7,5, lokale Rechteausweitung auf Root ueber das Gaia Portal). Alle drei betreffen praktisch jede aktuell unterstuetzte Versionslinie — R77.30, R80.x, R81.x und R82.x.

Die CISA nahm CVE-2026-16232 am 22. Juli 2026 in ihren Known-Exploited-Vulnerabilities-Katalog auf und setzte US-Bundesbehoerden im Rahmen der Binding Operational Directive 26-04 eine Frist bis zum 25. Juli. Check Point veroeffentlichte fuenf IoC-IP-Adressen sowie eine SmartConsole-Audit-Log-Abfrage, mit der Administratoren eine vorherige Kompromittierung pruefen koennen.

Warum das wichtig ist

Dies ist die zweite Check-Point-CVE mit bestaetigter aktiver Ausnutzung innerhalb von sechs Wochen. DIESEC berichtete am 10. Juni ueber CVE-2026-50751 — einen IKEv1-VPN-Authentifizierungs-Bypass, der von der Ransomware-Gruppe Qilin ausgenutzt wurde. Jetzt ist nicht das VPN-Gateway, sondern die Management-Konsole selbst der Einstiegspunkt. Fuer IT-Teams im deutschen Mittelstand und fuer MSPs, die mehrere Kunden-Firewall-Flotten ueber eine einzige SmartConsole- oder Multi-Domain-Instanz verwalten, ist dieser Unterschied entscheidend: Ein gestohlenes Token kompromittiert nicht eine Firewall, sondern jedes Gateway, das diese Konsole verwaltet.

Die CISA-Mitteilung verweist zudem auf eine Check-Point-Quantum-Gateway-CVE aus dem Jahr 2024, die von der Ransomware NailaoLocker ausgenutzt wurde — die dritte Check-Point-Schwachstelle mit bestaetigter Ausnutzung in etwa zwei Jahren, und die zweite in einem einzigen Sommer. Patch-Tempo allein schliesst diese Luecke nicht; die zugrunde liegende Exposition — aus dem Internet erreichbare Management-Schnittstellen — ist eine Architekturentscheidung, keine Versionsnummer.

Was Sie jetzt tun sollten

1. Spielen Sie den Jumbo Hotfix vom 22. Juli sofort auf jeden Security Management Server und Multi-Domain Security Management Server ein, unabhaengig von der Version (R77.30 bis R82.10 sind alle betroffen).
2. Pruefen Sie, ob Ihre Management-Server-IP aus dem Internet erreichbar ist. Falls ja, und Trusted Clients (GUI-Clients) nicht auf bestimmte IPs oder Subnetze eingeschraenkt sind, behandeln Sie diese Instanz bis zur Klaerung als exponiert.
3. Falls ein sofortiges Patchen nicht moeglich ist: Beschraenken Sie Trusted Clients auf bekannte Management-IPs und stellen Sie den Management-Server hinter eine Firewall, die Zugriffe von nicht autorisierten Adressen blockiert — Check Points eigener „Gateway and Management Hardening Best Practices Guide“ beschreibt die genauen Schritte.
4. Fuehren Sie die SmartConsole-Audit-Log-Abfrage nach „Authentication method: application token“ unter Logs & Monitor aus und gleichen Sie den Traffic mit den von Check Point veroeffentlichten Indicators of Compromise ab (fuenf IP-Adressen, siehe Quelladvisory), bevor Sie annehmen, dass der Patch allein einen Vorfall geschlossen hat.

DIESEC Einschätzung

Dieses Muster sehen wir wiederholt in Mittelstands- und MSP-Umgebungen: Die Firewall wird termingerecht gehaertet, ueberwacht und gepatcht, waehrend die Konsole, die sie verwaltet, still und leise eine offene Management-Schnittstelle behaelt, weil „die wird ja nur intern genutzt“ — bis es nicht mehr stimmt. Zwei gebrochene Vertrauensgrenzen bei Check Point in einem Sommer, einmal am Perimeter und einmal auf der Management-Ebene, zeigen, dass die Expositionsarchitektur denselben Pruefrhythmus braucht wie das Patch-Management.

Nicht sicher, ob Ihre Firewall-Management-Konsole diese Exposition hat? Kontaktieren Sie DIESEC für eine schnelle Expositions- und Zugriffskontroll-Pruefung Ihrer Firewall-Management-Umgebung.

Quellen: BleepingComputer | The Hacker News
Veröffentlicht: 2026-07-27 | Kategorie: Tägliche News | ~4 Min. Lesezeit