Sió-Informatika Rendszerház

A Check Point sürgős biztonsági frissítéseket adott ki három, tűzfal- és biztonságmenedzsment-platformjait érintő sérülékenységre. A legsúlyosabb hiba egy olyan SmartConsole-hitelesítésmegkerülési sérülékenység, amelyet a támadók már valós környezetben is kihasználtak.

A CVE-2026-16232 azonosítón nyilvántartott kritikus hiba lehetővé teheti, hogy egy hitelesítés nélküli, távoli támadó érvényes alkalmazás-bejelentkezési tokent szerezzen, majd teljes adminisztrátori jogosultsággal férjen hozzá egy sérülékeny Check Point Management Serverhez.

Egy sikeres támadás következményei különösen súlyosak lehetnek, mivel a kompromittált menedzsmentszerverről a támadó módosíthatja a tűzfalszabályokat, megváltoztathatja a biztonsági konfigurációkat, és közvetetten az összes hozzá kapcsolódó biztonsági átjáró védelmét gyengítheti.

A Check Point a sérülékenységet kritikus besorolásúnak minősítette, CVSS-pontszáma 9,3 a 10-ből.

Mikor használható ki a CVE-2026-16232?

A sebezhetőség kihasználásához több feltételnek is teljesülnie kell.

Kockázatos lehet egy olyan környezet, ahol:

• a Security Management Server vagy Multi-Domain Security Management Server közvetlenül elérhető az internetről;
• a menedzsmentfelület nincs megfelelően IP-címekre vagy alhálózatokra korlátozva;
• nincs megfelelően konfigurálva a Trusted Clients lista;
• az adminisztratív hozzáférés nincs elkülönített menedzsmenthálózathoz kötve.

A Check Point szerint az eddig megfigyelt támadások egy olyan konfigurációs mintát érintettek, ahol a menedzsment-infrastruktúra közvetlenül ki volt téve az internetnek, és nem volt megfelelő forrás-IP alapú korlátozás.

Ez azt jelenti, hogy a Trusted Clients és a hálózati korlátozások fontos védelmi réteget jelenthetnek, de a gyártó hangsúlyozza, hogy ezek nem helyettesítik a biztonsági frissítés telepítését.

Mi az a SmartConsole, és miért különösen érzékeny célpont?

A SmartConsole a Check Point központi grafikus adminisztrációs felülete.

Ezen keresztül a rendszergazdák többek között:

• tűzfalszabályokat kezelnek;
• biztonsági policy-kat hoznak létre;
• hálózati objektumokat módosítanak;
• gateway-eket adminisztrálnak;
• naplókat és biztonsági eseményeket vizsgálnak;
• hozzáféréseket kezelnek;
• konfigurációkat telepítenek.

A SmartConsole egy Security Management Serverhez vagy nagyobb környezetben egy Multi-Domain Security Management rendszerhez kapcsolódik.

A menedzsmentszerver rendkívül kritikus pozícióban van.

Míg maga a tűzfal hajtja végre a szabályokat, addig a Management Server határozza meg, hogy ezek a szabályok pontosan mik legyenek.

Ha ezt a rendszert kompromittálják, a támadó gyakorlatilag a biztonsági infrastruktúra „irányítópultjához” férhet hozzá.

A támadó teljes adminisztrátori munkamenetet szerezhet

A CVE-2026-16232 a SmartConsole alkalmazástokeneket használó bejelentkezési folyamatát érinti.

A hivatalos sebezhetőségi leírás szerint egy támadó megkerülheti a hitelesítést, érvényes login tokent szerezhet, és ezzel teljes adminisztrátori jogosultságú munkamenetet indíthat.

Ez nem pusztán egy monitorozási felülethez biztosít hozzáférést.

A támadó akár:

• új tűzfalszabályokat hozhat létre;
• engedélyezheti korábban tiltott hálózati kapcsolatokat;
• módosíthat biztonsági objektumokat;
• megváltoztathat gateway-konfigurációkat;
• gyengítheti a hozzáférési szabályokat;
• manipulálhatja a naplózást;
• új adminisztrációs hozzáférést hozhat létre;
• előkészítheti a későbbi oldalirányú mozgást.

Egy központi menedzsmentrendszer kompromittálása ezért akár az egész hálózat biztonsági modelljét veszélyeztetheti.

A Check Point már valós támadásokat is észlelt

A sérülékenységet a Check Point saját BLAST termékbiztonsági programjának felülvizsgálata során fedezték fel.

Az ezt követő vizsgálat során a vállalat megállapította, hogy a CVE-2026-16232 hibát már tényleges támadásokban is használták.

A gyártó szerint csak „néhány” ügyfél érintettségét azonosították.

Az érintett szervezeteket közvetlenül értesítették.

A Check Point ugyanakkor nem közölte:

• kik állnak a támadások mögött;
• mikor kezdődött a kihasználás;
• mely iparágakat célozták;
• milyen további műveleteket hajtottak végre a támadók;
• történt-e adatlopás;
• történt-e konfigurációmanipuláció.

Jelenleg nincs nyilvános bizonyíték arra sem, hogy a kampány:

• állami hátterű;
• ransomware-hez kapcsolódó;
• kiberkémkedési;
• vagy pénzügyileg motivált támadás lett volna.

A Smart-1 Cloud ügyfelek már védettek

A Check Point közlése szerint a Smart-1 Cloud felhős szolgáltatást használó ügyfelek esetében a szükséges védelem már rendelkezésre áll.

A legsürgősebb teendők ezért azokat a szervezeteket érintik, amelyek saját infrastruktúrában üzemeltetik:

• Security Management Server;
• Multi-Domain Security Management;
• kapcsolódó on-premises Check Point rendszereiket.

Hat támadói IP-címet tett közzé a Check Point

A vállalat több olyan IP-címet is közzétett, amelyeket a megfigyelt támadási tevékenységgel kapcsolatba hozott:

• 151.241.99[.]207
• 151.241.99[.]233
• 158.62.198[.]182
• 192.142.10[.]99
• 139.28.37[.]250
• 194.213.18[.]137

A biztonsági csapatoknak érdemes ezeket visszamenőlegesen keresniük:

• tűzfalnaplókban;
• menedzsmentnaplókban;
• hitelesítési logokban;
• VPN-telemetriában;
• hálózati forgalmi adatokban;
• SIEM-rendszerekben.

Egy egyezés azonban önmagában még nem bizonyít kompromittálást.

Az IOC-k csak kiindulópontot jelentenek

A közzétett IP-címeket vizsgálati indikátorként kell kezelni.

A támadói infrastruktúra:

• gyorsan cserélődhet;
• más szervezetekkel megosztott szerveren futhat;
• kompromittált rendszereket használhat;
• VPN vagy proxy mögött működhet;
• a nyilvánosságra kerülés után lecserélhető.

Ezért az IP-címek blokkolása önmagában nem elegendő.

Az sem jelenti azt, hogy a szervezet biztosan nem volt célpont, ha ezek az IP-címek nem szerepelnek a naplókban.

A Check Point által publikált lista csak a nyilvánosságra hozatal időpontjában ismert infrastruktúrát tükrözi.

Egy második kritikus hitelesítésmegkerülési hiba is javítást kapott

A júliusi frissítés egy másik komoly sérülékenységet is javít.

A CVE-2026-62144 szintén kritikus, és ugyancsak a Security Management és Multi-Domain Security Management rendszereket érinti.

A hiba lehetővé teheti, hogy egy hitelesítés nélküli, távoli támadó adminisztratív parancsokat hajtson végre egy elérhető Management Serveren.

A Check Point szerint ilyen műveletek lehetnek például:

• run-script;
• exec-command.

Egyes esetekben a végrehajtás a menedzselt Security Gateway-ekre is kiterjedhet.

A központi menedzsment kompromittálása továbbterjedhet a gateway-ekre

Ez a hiba eltér a CVE-2026-16232-től.

Nem feltétlenül teljes SmartConsole adminisztrátori session megszerzéséről van szó.

Ehelyett a támadó közvetlenül privilégiummal rendelkező menedzsmentparancsokat indíthat.

Ez azért veszélyes, mert a Management Server eleve megbízható kapcsolatban állhat a hálózat többi Check Point biztonsági eszközével.

A támadás így:

internet → Management Server → Security Gateway

útvonalon továbbterjedhet.

A CVE-2026-62144 CVSS-pontszáma szintén 9,3.

A Check Point a publikálás időpontjáig ennél a sérülékenységnél nem észlelt aktív kihasználást.

A Gaia Portalban is súlyos jogosultságnövelési hiba található

A harmadik javított sérülékenység a CVE-2026-62145.

Ez a Check Point Gaia operációs rendszer webes adminisztrációs felületét, a Gaia Portalt érinti.

A hiba lehetővé teheti, hogy egy hitelesített, csak olvasási jogosultságú felhasználó operációs rendszer szintű parancsokat hajtson végre root jogosultsággal.

A Check Point a hibát magas súlyosságúnak minősítette, CVSS-pontszáma 7,5.

Egy read-only fiókból root hozzáférés lehet

A támadónak ennél a hibánál már rendelkeznie kell érvényes Gaia Portal-fiókkal.

Ez elsőre jelentős korlátozásnak tűnhet.

Egy read-only fiókot azonban gyakran kaphat:

• auditor;
• külső IT-szolgáltató;
• monitoringcsapat;
• supportpartner;
• junior adminisztrátor;
• biztonsági elemző.

Az ilyen fiókokat azért tekintik alacsonyabb kockázatúnak, mert elméletileg nem változtathatják meg a rendszert.

A CVE-2026-62145 ezt a biztonsági határt törheti át.

Ha a támadó megszerzi egy read-only felhasználó hitelesítő adatait, a sérülékenységgel akár root jogosultságig emelkedhet.

Mit jelent a root hozzáférés?

A root a Linux-alapú rendszerek legmagasabb jogosultsági szintje.

Root hozzáféréssel egy támadó potenciálisan:

• módosíthatja a rendszerfájlokat;
• megváltoztathatja a konfigurációt;
• leállíthat biztonsági szolgáltatásokat;
• új felhasználókat hozhat létre;
• tartós hozzáférést telepíthet;
• hozzáférhet érzékeny fájlokhoz;
• manipulálhatja a naplózást;
• malware-t telepíthet.

A Check Point nem jelzett aktív kihasználást ennél a sérülékenységnél.

Számos Check Point-verzió érintett

A fő érintett támogatott kiadások:

• R81.10
• R81.20
• R82
• R82.10

A Check Point ugyanakkor arra figyelmeztet, hogy régebbi verziók is sérülékenyek lehetnek.

A szélesebb érintett lista:

• R77.30
• R80
• R80.10
• R80.20
• R80.30
• R81
• R81.10
• R81.20
• R82
• R82.10

A pontos érintettség CVE-nként és termékenként eltér.

Nem mindegyik sérülékenység ugyanazokat a rendszereket érinti

A CVE-2026-16232 és CVE-2026-62144 elsősorban:

• Security Management;
• Multi-Domain Security Management

rendszereket érint.

A CVE-2026-62145 Gaia Portal sérülékenység több olyan terméket is érinthet, amelyen a veszélyeztetett webes adminisztrációs komponens elérhető.

Ilyen lehet többek között:

• Security Gateway;
• Multi-Domain Management;
• Multi-Domain Log Server.

Ezért az adminisztrátoroknak nem elegendő csak egy Check Point komponens verzióját ellenőrizniük.

Teljes körű eszközleltárra van szükség.

Jumbo Hotfix Accumulator csomagok tartalmazzák a javításokat

A Check Point 2026. július 22-én új Jumbo Hotfix Accumulator csomagokat adott ki a támogatott termékágakhoz.

Az R82.10 esetében például a Jumbo Hotfix Accumulator Take 36 tartalmazza mindhárom sérülékenység javítását.

A Jumbo Hotfix csomagok kumulatívak, tehát a korábbi javításokat is tartalmazzák.

Más támogatott verzióágakhoz külön megfelelő hotfixcsomag érhető el.

A szervezeteknek ezért a saját:

• termékük;
• verziójuk;
• jelenlegi hotfixszintjük;
• telepítési módjuk

alapján kell kiválasztani a megfelelő csomagot.

A CISA aktívan kihasznált sérülékenységként tartja nyilván

Az amerikai Cybersecurity and Infrastructure Security Agency, vagyis CISA a CVE-2026-16232-t felvette a Known Exploited Vulnerabilities – KEV katalógusba.

Ez azt jelenti, hogy a sérülékenység kihasználása már nem elméleti kockázat.

Megbízható bizonyíték áll rendelkezésre arra, hogy támadók valós rendszerek ellen alkalmazzák.

A KEV-be kerülés miatt az amerikai szövetségi civil szervezetek számára kötelező határidőt írtak elő.

Mindössze három napot kaptak a szövetségi szervek

A CISA 2026. július 25-i határidőt szabott a CVE-2026-16232 javítására.

Ez mindössze három nappal követte a Check Point július 22-i javításának megjelenését.

A rendkívül rövid határidő jól mutatja, milyen súlyosnak tekintik a kockázatot.

Ennek okai:

• aktív kihasználás;
• távoli támadhatóság;
• hitelesítés hiánya;
• teljes adminisztrátori hozzáférés;
• központi biztonsági infrastruktúra érintettsége.

Bár a CISA kötelező határideje közvetlenül csak az amerikai szövetségi civil szervekre vonatkozik, a KEV-katalógust világszerte használják sérülékenység-priorizálásra.

A másik két hibát sem szabad halogatni

A CVE-2026-62144 ugyan még nem került aktív támadásokkal kapcsolatba, de:

• nem igényel hitelesítést;
• távolról kihasználható;
• adminisztratív parancsokat engedélyezhet;
• menedzselt gateway-ekre is hatással lehet.

A CVE-2026-62145 pedig egy read-only Gaia-fiókból biztosíthat root jogosultságot.

Mivel a Check Point hotfixcsomagjai mindhárom problémát kezelik, célszerű egyetlen sürgős karbantartási folyamat keretében telepíteni a teljes javítást.

A patch telepítése önmagában nem biztos, hogy elegendő

Ez különösen fontos a CVE-2026-16232 esetében.

Mivel a támadók már a nyilvános disclosure előtt kihasználták a hibát, egy internet felől elérhető menedzsmentszerver esetében nem szabad abból kiindulni, hogy a frissítés telepítésével minden kockázat megszűnt.

Egy kompromittált rendszeren a támadó korábban már:

• új adminisztrátort hozhatott létre;
• tokent szerezhetett;
• tűzfalszabályt módosíthatott;
• scriptet telepíthetett;
• gateway-parancsot hajthatott végre;
• naplózást változtathatott;
• tartós hozzáférést hozhatott létre.

Ezért a javítást incidensvizsgálatnak is követnie kell.

Mit kell ellenőrizni az érintett környezetben?

A szervezeteknek érdemes átvizsgálniuk:

• adminisztrátori fiókokat;
• újonnan létrehozott felhasználókat;
• alkalmazástokeneket;
• API-tokeneket;
• aktív és korábbi adminisztrátori sessionöket;
• Trusted Clients listát;
• hitelesítési konfigurációt;
• utóbbi policy-módosításokat;
• gateway-telepítéseket;
• futtatott scripteket;
• exec-command műveleteket.

Különösen gyanús lehet minden olyan változás, amelynek nincs dokumentált change requestje vagy üzleti indoka.

A tűzfalszabályokat ismert jó állapottal kell összehasonlítani

Ha egy támadó teljes adminisztratív hozzáférést szerzett, a jelenlegi policy önmagában már nem tekinthető megbízható referenciaállapotnak.

Érdemes összehasonlítani:

• jelenlegi policy;
• korábbi backup;
• korábbi export;
• change management nyilvántartás;
• auditlogok

adatait.

Keresni kell többek között:

• indokolatlan ANY/ANY szabályokat;
• új source vagy destination objektumokat;
• ismeretlen admin hálózatokat;
• váratlan VPN-változtatásokat;
• túl széles szolgáltatásengedélyeket;
• új NAT-szabályokat.

A naplózást is manipulálhatta a támadó

Egy teljes adminisztrátori hozzáféréssel rendelkező támadó célja lehet a saját tevékenységének elrejtése.

Ezért ellenőrizni kell:

• log retention beállításokat;
• naplózási policy-kat;
• log exportot;
• SIEM-kapcsolatokat;
• auditbeállításokat;
• Management Server logokat;
• gateway log forwarding konfigurációt.

A hiányzó naplók vagy váratlan konfigurációváltozások önmagukban is kompromittálásra utalhatnak.

Kompromittálás esetén credential rotation szükséges

Ha a vizsgálat támadói hozzáférést igazol, szükség lehet:

• adminisztrátori jelszavak cseréjére;
• API-tokenek visszavonására;
• alkalmazástokenek újragenerálására;
• aktív sessionök megszüntetésére;
• szolgáltatásfiókok hitelesítő adatainak cseréjére;
• VPN-hitelesítési adatok felülvizsgálatára.

A credential rotationt azonban koordinált incidenskezelés részeként célszerű végrehajtani.

Ha a támadó továbbra is jelen van a rendszerben, az új credentialeket ismét megszerezheti.

A menedzsmentkörnyezetet el kell különíteni

A Check Point különösen hangsúlyozza a menedzsmenthozzáférés korlátozását.

A Management Servereket lehetőség szerint nem szabad közvetlenül az internetre helyezni.

Az adminisztráció történhet:

• dedikált menedzsmenthálózatról;
• biztonságos VPN-en keresztül;
• bastion hostról;
• jump serverről;
• engedélyezett adminisztrátori IP-címekről.

A Trusted Clients listát szigorúan minimalizálni kell.

Csak a szükséges forráscímek férjenek hozzá

A management portokhoz érdemes kizárólag:

• kijelölt adminisztrátori gépeket;
• belső menedzsmenthálózatot;
• VPN address poolt;
• bastion hostokat

engedélyezni.

Minden más forrásból érkező kapcsolatot blokkolni kell.

Ez jelentősen csökkenti annak esélyét, hogy egy internetes támadó egy jövőbeli hitelesítésmegkerülési hibát kihasználjon.

A Trusted Clients nem helyettesíti a patch-et

A mostani támadások jól mutatják, hogy a biztonságos konfiguráció valóban csökkentheti a sebezhetőséget.

De a konfigurációs hardening soha nem tekinthető a gyártói javítás helyettesítőjének.

Egy későbbi:

• más végpontra irányuló támadás;
• belső kompromittálás;
• VPN-en keresztüli hozzáférés;
• ellopott adminisztrátori gép

megkerülheti a hálózati korlátozásokat.

Ezért a helyes megközelítés:

patch + hozzáférés-korlátozás + monitoring + incidensvizsgálat.

A tűzfal menedzsmentrendszere „koronaékszernek” számít

A legtöbb szervezet kiemelten védi:

• domain controllereit;
• identitásszolgáltatóit;
• backup infrastruktúráját;
• EDR-konzolját.

Ugyanilyen magas szintű védelmet kell biztosítani a tűzfal menedzsmentrendszerének is.

A Check Point Management Server kompromittálása közvetetten az egész vállalati peremvédelmet érintheti.

Ezeknek a rendszereknek ezért:

• nem szabad nyílt internetes felülettel rendelkezniük;
• erős adminisztrátori hitelesítést kell használniuk;
• minimális számú adminisztrátorral kell működniük;
• folyamatos auditnaplózást kell alkalmazniuk;
• változásaikat monitorozni kell;
• rendszeres biztonsági mentéssel kell rendelkezniük.

Összegzés

A Check Point három jelentős sérülékenységet javított 2026. július 22-én, amelyek közül a legsúlyosabbat már aktívan ki is használták.

A CVE-2026-16232 lehetővé teheti, hogy egy hitelesítés nélküli támadó teljes adminisztrátori SmartConsole-hozzáférést szerezzen egy internet felől elérhető Management Serverhez.

A CVE-2026-62144 szintén hitelesítés nélkül teheti lehetővé privilegizált menedzsmentparancsok végrehajtását.

A CVE-2026-62145 pedig egy read-only Gaia Portal-fiókból biztosíthat root szintű jogosultságot.

A CVE-2026-16232 bekerült a CISA Known Exploited Vulnerabilities katalógusába, és az amerikai szövetségi civil szervek mindössze három napot kaptak a javítás végrehajtására.

A Check Point rendszereket üzemeltető szervezeteknek ezért azonnal:

• telepíteniük kell a megfelelő Jumbo Hotfix Accumulator csomagot;
• korlátozniuk kell a Trusted Clients beállításokat;
• meg kell szüntetniük a szükségtelen internetes management-hozzáférést;
• át kell vizsgálniuk a menedzsment- és gateway-naplókat;
• ellenőrizniük kell a policy-kat és adminisztrátori fiókokat;
• aktív kompromittálás gyanúja esetén teljes incidensvizsgálatot kell indítaniuk.

Az eset ismét azt mutatja, hogy a tűzfal nemcsak védelmi eszköz, hanem maga is kiemelt támadási célpont. Ha a központi menedzsmentréteg kompromittálódik, a támadó ugyanazokat az eszközöket használhatja a védelem gyengítésére, amelyeket a szervezet eredetileg a hálózat védelmére telepített.