Check Point hat eine aktiv ausgenutzte Zero-Day-Schwachstelle in SmartConsole, der grafischen Verwaltungsoberfläche für die Sicherheitsmanagement-Produkte des Unternehmens, behoben.
Die als CVE-2026-16232 geführte Schwachstelle ermöglicht es einem nicht authentifizierten Angreifer, ein Anmelde-Token zu erhalten und sich mit Administratorrechten anzumelden.
Nach Angaben von Check Point sind nur sehr wenige Kunden von der SmartConsole-Zero-Day-Schwachstelle betroffen. Eine erfolgreiche Ausnutzung kann Angreifern jedoch ermöglichen, Sicherheitsrichtlinien und Sicherheitskonfigurationen auf anfälligen Management-Servern zu verändern.
CVE-2026-16232 ermöglicht Administratorzugriff
Die Schwachstelle betrifft Bereitstellungen von Check Point Security Management Server und Multi-Domain Security Management Server.
Ein Angreifer kann die Schwachstelle ausnutzen, um ohne vorherige Authentifizierung ein Anmelde-Token zu erhalten. Anschließend kann dieses Token verwendet werden, um mit Administratorrechten auf die SmartConsole-Umgebung zuzugreifen.
Dadurch kann der Angreifer Sicherheitseinstellungen und Sicherheitsrichtlinien verändern. Dies könnte die Schutzmaßnahmen einer Organisation schwächen, neue Angriffswege schaffen oder die Sicherheitsüberwachung beeinträchtigen.
Für eine Remote-Ausnutzung muss die IP-Adresse des betroffenen Management Servers aus dem Internet erreichbar sein. Außerdem darf der Zugriff auf SmartConsole nicht auf vertrauenswürdige GUI-Clients beschränkt sein.
Check Point fordert Kunden zum Patchen auf
Check Point hat Sicherheitsupdates veröffentlicht, die CVE-2026-16232 beheben, und empfiehlt Kunden dringend, diese so schnell wie möglich zu installieren.
Organisationen, die das Update nicht sofort einspielen können, sollten die Funktion Trusted Clients auf freigegebene IP-Adressen oder Subnetze beschränken. Außerdem sollten sie den Verwaltungszugriff von nicht autorisierten IP-Adressen blockieren und die Härtungsempfehlungen von Check Point umsetzen.
Die Einschränkung des Fernzugriffs auf Verwaltungsoberflächen reduziert das Risiko einer Ausnutzung. Sicherheitsteams sollten diese Systeme möglichst nicht direkt aus dem Internet erreichbar machen.
So prüfen Sie auf Anzeichen einer Kompromittierung
Administratoren können die SmartConsole-Auditprotokolle auf verdächtige Authentifizierungsaktivitäten überprüfen.
Check Point empfiehlt, nach Einträgen zu suchen, bei denen die Authentifizierungsmethode „application token“ lautet. Sicherheitsteams sollten außerdem Aktivitäten im Zusammenhang mit den folgenden IP-Adressen untersuchen:
- 151.241.99.207
- 151.241.99.233
- 158.62.198.182
- 192.142.10.99
- 139.28.37.250
Diese Indikatoren allein bestätigen keine Kompromittierung. Sie können Administratoren jedoch dabei helfen, verdächtige SmartConsole-Aktivitäten zu erkennen, die einer genaueren Untersuchung bedürfen.
CISA nimmt Schwachstelle in KEV-Katalog auf
Die US-amerikanische Cybersicherheitsbehörde CISA hat CVE-2026-16232 am Mittwoch in ihren Katalog der Known Exploited Vulnerabilities (KEV) aufgenommen.
CISA verpflichtete US-Bundesbehörden, anfällige SmartConsole-Systeme bis Samstag, den 25. Juli, gemäß der Binding Operational Directive 26-04 zu patchen.
Obwohl diese Anordnung nur für zivile Bundesbehörden gilt, fordert CISA alle Organisationen auf, das Update vorrangig einzuspielen. Die Behörde warnt, dass Angreifer Authentifizierungsschwachstellen häufig gezielt ausnutzen und diese erhebliche Sicherheitsrisiken darstellen können.
Check Point erneut Ziel von Angriffen auf Authentifizierungsschwachstellen
Die SmartConsole-Zero-Day-Schwachstelle reiht sich in mehrere kürzlich ausgenutzte Authentifizierungsschwachstellen in Produkten von Check Point ein.
Im Juni forderte CISA Bundesbehörden auf, Check Point Remote Access VPN und Mobile Access gegen CVE-2026-50751 abzusichern. Die Ransomware-Gruppe Qilin soll diese Schwachstelle bei Zero-Day-Angriffen ausgenutzt haben.
Darüber hinaus stufte CISA bereits CVE-2024-24919 in Check Point Quantum Security Gateways als aktiv ausgenutzt ein. Sicherheitsforscher brachten Angriffe über diese Schwachstelle mit der Ransomware NailaoLocker in Verbindung.
Da CVE-2026-16232 bereits aktiv ausgenutzt wird, sollten Organisationen exponierte SmartConsole-Umgebungen umgehend aktualisieren und ihre Protokolle auf Anzeichen unbefugter Zugriffe überprüfen.
0 Kommentare zu „Check Point SmartConsole Zero-Day-Schwachstelle wird bei aktiven Angriffen ausgenutzt“