LONDON (IT BOLTWISE) – Check Point meldet einen Zero-Day im Security Management Server, der bereits in gezielten Angriffen missbraucht worden sein soll. Die Schwachstelle CVE-2026-93616 erlaubt das Ausführen von Skripten auf dem Management-Server ohne Login, wenn der Webdienst erreichbar ist. Das Unternehmen stellte den Fix am 22. September bereit und liefert zugleich konkrete Hinweise zum Suchen nach Indicators of Compromise. Zusätzlich warnt Check Point vor anhaltenden Versuchen, eine VPN-Schwachstelle auszunutzen, die erst am 9. September geschlossen wurde.
Für IT-Teams mit Check-Point-Management-Setups ist die neue Warnung besonders brisant, weil der Security Management Server im Zentrum der Betriebslogik steht: Er steuert Firewall-Policies für die verwalteten Gateways. Check Point berichtet, dass Angreifer eine zuvor unbekannte Schwachstelle in diesem Management-Dienst bereits in einer „handful“ gezielten Angriffen am 23. Juli ausgenutzt haben sollen. Betroffen ist das Szenario, in dem ein Angreifer auf den Webservice zugreifen kann, ohne sich authentifizieren zu müssen, denn die Lücke erlaubt das Ausführen von Skripten auf dem System. In der Praxis bedeutet das weniger „nur“ Datenexfiltration, sondern potenziell direkten Code-Execution-Pfad innerhalb der Management-Ebene.
Technisch ordnet Check Point die Schwachstelle als Path-Traversal ein: CVE-2026-93616 nutzt eine unzureichende Begrenzung, welche Dateipfade und Ordner der Webservice über Anfragen erreichen darf. Die Folge ist, dass ein Angreifer Skripte auf den Server hochladen kann und anschließend diese Skripte ausführt. Entsprechend stuft Check Point die Schwachstelle mit 9,8 von 10 auf der CVSS-Skala ein und beschreibt den Angriffspfad so, dass nicht „vollständiger Admin-Zugriff“ nötig ist, sondern nur Erreichbarkeit des Webdienstes. Der Umstand, dass die Advisory die Ziele der Angriffe und das konkrete Vorgehen nach der Ausnutzung nicht benennt, erhöht zugleich die Notwendigkeit für ein systematisches Hunting im eigenen Bestand statt reinem „Patch-only“-Denken.
Der entscheidende operative Teil liegt in der Patch- und Versionslogik, weil Check Point die Jumbo Hotfix-Updates je Release nach „Take“-Nummern unterscheidet und diese bei LivePatch anders nummeriert. In der CVE-Auflistung nennt die Firma unter anderem R82.20 ohne Jumbo Hotfix, R82.10 mit Jumbo Hotfix Take 44 oder darunter sowie mehrere R81- und R80-Varianten bis hin zu Builds, die bereits „end of support“ sind. Für Administratoren heißt das: Es reicht nicht, grob „R82“ oder „R81“ zu prüfen, sondern es muss die konkrete Take-Nummer gegen die betroffene Liste abgeglichen werden. Check Point verweist für die Fixes und die Abhilfemaßnahmen auf den Support-Artikel sk1000171; wichtig ist dabei der Punkt, dass das Installieren der Korrektur nicht automatisch zeigt, ob ein Server bereits kompromittiert wurde.
Parallel dazu bleibt das Thema „Attack Chain“ eng, weil Check Point getrennt auch eine weitere, VPN-bezogene Schwachstelle adressiert. Laut Meldung versuchen Angreifer seit dem 12. September, eine VPN-Lücke auszunutzen, die bereits am 9. September geschlossen wurde; es geht dabei um CVE-2026-85102. Diese Angriffe richten sich den Angaben zufolge gegen Kunden, bei denen Spark-Firewalls aus der Small-Business-Linie im Einsatz sind. In der Produktbeschreibung steckt ein Zusatzdetail: Für CVE-2026-93616 gilt, dass die betroffene Take-Spanne je nach paralleler VPN-Fix-Lücke „um einen Take höher“ liegen kann. Damit kann ein Update, das nur so weit geht, dass man gerade außerhalb des September-VPN-Bereichs landet, dennoch weiterhin anfällig für CVE-2026-93616 bleiben.
Auch die Suche nach Angriffsspuren wird konkret: Check Point empfiehlt, die LivePatch-Takes wie beschrieben zu berücksichtigen und anschließend die Hunting-Guidance sowie Indicators of Compromise aus sk1000171 zu nutzen, um Zeichen einer Ausnutzung zu finden. Für Teams, die noch nicht patchen können, nennt zudem das niederländische NCSC eine Workaround-Route für Site-to-Site-VPN: Dazu sollen die impliziten VPN-Regeln deaktiviert und UDP-Ports 500 und 4500 nur von festgelegten Peer-IP-Adressen erlaubt werden. Für lokal verwaltete Spark-Firewalls gilt diese Umgehung nach NCSC-Logik jedoch nicht. Solche Unterschiede sind in heterogenen Umgebungen oft der Grund, warum „ein zentraler Fix“ nicht überall gleich wirksam ist.
Abseits des Management-Servers greift Check Point außerdem eine zweite VPN-bezogene Baustelle auf, die in der Zwischenzeit in den Gateways und Management-Komponenten relevant sein kann: CVE-2026-85103 betrifft eine VPN-Zertifikatslücke, die am 9. September geschlossen wurde. Die Firma beschreibt für die aktuell beobachteten Versuche zudem, dass die Angriffsquellen aus anonymisierenden Infrastrukturen stammen, darunter VPN-Dienste und Proxies. Auffällig sind die in den Versuchen verwendeten Zertifikats-Subjects mit CN- und OU-Strukturen, etwa CN=vpn, OU=users, O=global, CN=vpn-user, OU=users, O=global und CN=vpnuser, OU=users, O=global. Da die Liste laut Check Point nicht vollständig ist, sollten Administratoren Logs nicht nur nach genau diesen Subjects durchsuchen, sondern auch nach unüblichen Mobile-Access-Login-Aktivitäten und anschließendem Verhalten wie dem Scannen interner Ports und Dienste.
Für die IT-Sicherheitspraxis ergibt sich daraus eine klare Priorisierung: Erstens muss die Management-Server-Seite anhand sk1000171 und der Take-Nummern sauber verifiziert werden, weil hier ein Pfad-traversal-basiertes Skript-Upload- und -Execution-Szenario möglich ist. Zweitens sollte das Hunting nicht erst nach dem Patch beginnen, sondern so geplant werden, dass auch Zeitfenster vor der Fix-Installation berücksichtigt werden können. Drittens brauchen SecOps-Teams sowohl VPN- als auch Mobile-Access-Logik im Blick, weil Zertifikatsmuster und typische Nachladeaktionen (z. B. interne Port-Scanning-Muster nach erfolgreichem Login) in der Praxis häufig die besseren Indikatoren liefern als reine Erreichbarkeitschecks. Gerade in Umgebungen, in denen Gateways und Management-Server historisch mehrfach „auf Kante“ gepatcht wurden, ist die Kombination aus Versionsprüfung, IOC-Hunting und – wenn nötig – Workarounds bis zum Patch-Rollout der Weg, um die Lücke wirklich zu schließen.
💳 Amazon-Kreditkarte mit 2.000 Euro Limit bestellen!
🔥 Heutige Hot Deals bei Amazon: Bis zu 80% Rabatte!
🎉 Amazon Haul-Store für absolute Schnäppchenjäger!
- ★ 23-stufiges KI-Go-Training – Für Spieler mit Grundkenntnissen der Regeln – Entwickelt als intelligenter Trainingspartner passt sich die KI Spielern von 18K bis 9D an. Ideal für alle, die die Grundregeln bereits beherrschen und ihr Spiel verbessern möchten.
- IHR EMOTIONALER AI-BEGLEITER: Eiliko ist mehr als nur ein Anhänger, es ist ein charismatischer KI-Freund. Mit einem dynamischen LED-Bildschirm, der eine Vielzahl von animierten Gesichtern und Ausdrucksformen anzeigt, reagiert er auf Ihre Interaktionen mit einzigartiger Persönlichkeit und Charme.
- 【MEHR LEBEN FÜR DEINEN SCHREIBTISCH】 Lerne Eilik kennen – deinen kleinen Roboter-Freund mit Persönlichkeit. Mit liebevollen Animationen, ausdrucksstarken Reaktionen und spielerischen Interaktionen bringt Eilik mehr Freude in deinen Alltag. Ob auf dem Schreibtisch, im Büro oder am Nachttisch – Eilik wird schnell zu einem vertrauten Begleiter für besondere Momente.
- 【XL-Größe für gedeihende Pflanzen】Geben Sie Ihren Pflanzen den Raum, den sie verdienen! Unser verbessertes, großes 13,7 cm großes Design bietet Platz für Pflanzen mit einem Durchmesser von bis zu 8,9 cm und damit deutlich mehr Platz für Wurzelwachstum und Pflanzengesundheit im Vergleich zu kleineren, veralteten Modellen. Die Produktabmessungen betragen 13,6 x 13,6 x 13,2 cm und das Gerät wiegt nur 355 g.
- V28 Update - JETZT MIT NEUEN FUNKTIONEN! Als Reaktion auf das Ladeproblem von Loona haben wir das automatische Aufladen 2.0 verbessert. Diese Optimierung hilft Loona, die Ladewege in verschiedenen Szenarien zu erkennen und anzupassen, um die Erfolgsquote beim automatischen Aufladen zu erhöhen. Mobile Hotspots können sich mit Loona verbinden und überwinden WLAN-Einschränkungen, sodass Sie jederzeit und überall mit Loona interagieren können.
- Die besten Bücher rund um KI & Robotik!
- Die besten KI-News kostenlos per eMail erhalten!
- Zur Startseite von IT BOLTWISE® für aktuelle KI-News!
- IT BOLTWISE® kostenlos auf Patreon unterstützen!
- Aktuelle KI-Jobs auf StepStone finden und bewerben!
- Künstliche Intelligenz: Dem Menschen überlegen – wie KI uns rettet und bedroht | Der Neurowissenschaftler, Psychiater und SPIEGEL-Bestsellerautor von »Digitale Demenz«
Du hast einen wertvollen Beitrag oder Kommentar zum Artikel "Check Point warnt vor Zero-Day: Management Server per Pfadprüfung ausnutzbar" für unsere Leser?
#Sophos
#AmazonPrime
#Bestseller
Es werden alle Kommentare moderiert!
Für eine offene Diskussion behalten wir uns vor, jeden Kommentar zu löschen, der nicht direkt auf das Thema abzielt oder nur den Zweck hat, Leser oder Autoren herabzuwürdigen.
Wir möchten, dass respektvoll miteinander kommuniziert wird, so als ob die Diskussion mit real anwesenden Personen geführt wird. Dies machen wir für den Großteil unserer Leser, der sachlich und konstruktiv über ein Thema sprechen möchte.
Du willst nichts verpassen?
Du möchtest über ähnliche News und Beiträge wie "Check Point warnt vor Zero-Day: Management Server per Pfadprüfung ausnutzbar" informiert werden? Neben der E-Mail-Benachrichtigung habt ihr auch die Möglichkeit, den Feed dieses Beitrags zu abonnieren. Wer natürlich alles lesen möchte, der sollte den RSS-Hauptfeed oder IT BOLTWISE® bei Google News wie auch bei Bing News abonnieren.
Nutze die Google-Suchmaschine für eine weitere Themenrecherche: »Check Point warnt vor Zero-Day: Management Server per Pfadprüfung ausnutzbar« bei Google Deutschland suchen, bei Bing oder Google News!