Check Point Quantum Security Management: unzureichende Authentifizierung (CVE-2026-16232)

Was ist betroffen, was ist zu tun

Die Schwachstelle CVE-2026-16232 ist eine Umgehung der Authentifizierung im Check Point SmartConsole, die es einem unauthentifizierten Angreifer ermöglicht, ein Anwendungslogintoken zu erlangen und sich mit vollen Administratorrechten anzumelden. Dies erlaubt die Modifikation von Sicherheitsrichtlinien und -konfigurationen. Die Schwachstelle wird aktiv ausgenutzt und betrifft die Versionen r77.30 bis r81.20 des Multi-Domain-Security-Management-Produkts. Ein sofortiges Patchen auf die neueste Version ist dringend erforderlich, um die Sicherheitsrisiken zu minimieren.

Die Schwachstelle wird aktiv ausgenutzt; behandeln Sie sie vorrangig. Aktualisieren Sie multi-domain_security_management auf Version r81.20, quantum_security_management auf Version r81.20. Sofortmaßnahmen, Mitigation und Erkennungsregeln stehen im Runbook unten.

Betroffen

• Check Point Quantum Security Management eq R82.10 with Jumbo Hotfix Take 36 or below..R82.10 with Jumbo Hotfix Take 36 or below
• Check Point Quantum Security Management eq R82 with Jumbo Hotfix Take 118 or below..R82 with Jumbo Hotfix Take 118 or below
• Check Point Quantum Security Management eq R81.20 with Jumbo Hotfix Take 158 or below..R81.20 with Jumbo Hotfix Take 158 or below
• Check Point Quantum Security Management eq R81.10, R81, R80.30, R80.20, R80.10, R80, and R77.30..R81.10, R81, R80.30, R80.20, R80.10, R80, and R77.30
• Check Point Multi-Domain Security Management eq R82.10 with Jumbo Hotfix Take 36 or below..R82.10 with Jumbo Hotfix Take 36 or below
• Check Point Multi-Domain Security Management eq R82 with Jumbo Hotfix Take 118 or below..R82 with Jumbo Hotfix Take 118 or below
• Check Point Multi-Domain Security Management eq R81.20 with Jumbo Hotfix Take 158 or below..R81.20 with Jumbo Hotfix Take 158 or below
• Check Point Multi-Domain Security Management eq R81.10, R81, R80.30, R80.20, R80.10, R80, and R77.30..R81.10, R81, R80.30, R80.20, R80.10, R80, and R77.30

Unklar, ob und wie Sie betroffen sind? Frage zu dieser Schwachstelle stellen

Metriken

Behebung und Mitigation

1. 01

   Schritt 1 im Runbook

   Sofort-Response (0-24 h)

   • Erreichbarkeit des Management-Servers aus dem Internet sofort unterbinden. Eingehenden Verkehr aus nicht vertrauenswürdigen Netzen zur Management-IP (Quantum Security Management bzw. Multi-Domain Server/CMA) am Perimeter blockieren. Typische SmartConsole- und Management-Ports sind TCP 18190 (CPMI), 19009 (CPM), 443 (Gaia Portal/Management-API) und 18264 (ICA). Die tatsächlich genutzten Ports bitte in der eigenen Umgebung verifizieren.
   • Trusted Clients restriktiv konfigurieren. In SmartConsole unter Manage & Settings → Permissions & Administrators → Trusted Clients die Einträge „Any“ bzw. „All IPs“ entfernen und nur dedizierte Admin-Jumphosts oder das Admin-VLAN zulassen. Danach Publish ausführen. Laut Hersteller ist eine Fernausnutzung ohne Internetzugang zur Management-IP und ohne offene Trusted-Clients-Konfiguration nicht möglich.
   • Jumbo Hotfix bzw. Hotfix laut Check-Point-Advisory einspielen. Betroffen sind R81.20 bis einschließlich JHF Take 158, R82 bis einschließlich Take 118 und R82.10 bis einschließlich Take 36. Erforderlich ist ein neuerer Take bzw. der dedizierte Hotfix. Die genaue Take-Nummer bitte im Vendor-Advisory oder über CPUSE nachschlagen. Alle Domain-Server von MDS-Installationen sind einzubeziehen.
   • Altversionen als kritisch einstufen. Für R81.10, R81, R80.30, R80.20, R80.10, R80 und R77.30 ist ein Upgrade auf eine unterstützte und gepatchte Version einzuplanen. Bis dahin ist die strikte Netzisolation des Management-Servers verpflichtend. Ob ein Hotfix für diese Versionen existiert, bitte im Vendor-Advisory prüfen.
   • Kompromittierung prüfen, bevor die Umgebung als sauber gilt. Audit-Logs und Policy-Revisionen der letzten Wochen auf unbekannte Admin-Logins, neue Administratoren und Regeländerungen sichten (siehe Detection-Regeln). Bei Verdacht gilt: Management-Server forensisch sichern, alle Admin-Passwörter, API-Keys und Service-Accounts rotieren, die zuletzt bekannte saubere Revision wiederherstellen und die Policy neu installieren.
   • Meldepflichten prüfen. Bei bestätigter Manipulation der Sicherheitsrichtlinie ist die NIS2-Frühwarnung (24 h) bzw. für KRITIS die Meldung an das BSI zu bewerten.
2. 02

   Schritt 2 im Runbook

   Mitigation-Layer

   • Netzsegmentierung: Den Management-Server ausschließlich in einem dedizierten Management-VLAN betreiben (Out-of-Band, wo möglich). Zugriff erhalten nur PAW- oder Jumphost-Systeme. Eine explizite Drop-Regel „Any (extern) → Management-Objekt“ wird oberhalb aller Accept-Regeln platziert.
   • Fernzugriff für Administratoren: SmartConsole-Zugriff nur über VPN mit MFA zulassen. Keine direkte Veröffentlichung von Management-Ports per NAT. Bestehende NAT- oder Port-Forwarding-Regeln auf die Management-IP inventarisieren und entfernen.
   • Gaia-Härtung: Die Allowed Clients im Gaia Portal bzw. per set allowed-client auf das Admin-Netz beschränken. Die Freigabe der Management-API (api status, Einstellung „Accept API calls from“) auf „Management server only“ oder auf definierte IPs begrenzen.
   • IAM/Least Privilege: Die Anzahl der Super-User-Profile minimieren und Administratoren mit Read-Only- bzw. Domain-beschränkten Profilen ausstatten. Wo verfügbar, externe Authentifizierung (RADIUS/TACACS+ mit MFA) erzwingen. Ungenutzte lokale Admin-Konten deaktivieren.
   • Änderungskontrolle: Für Policy-Installationen das Session-Approval bzw. den Vier-Augen-Workflow (Session Approval in R81+) aktivieren. So wird eine unbemerkte Regeländerung durch ein gekapertes Token erschwert.
   • Upstream-IPS: Auf vorgelagerten Firewalls bzw. am IPS den Zugriff aus dem Internet auf die Management-Ports alarmieren und blockieren. Bei Verfügbarkeit die herstellerseitige IPS-Protection für diese CVE aktivieren (Verfügbarkeit im Advisory prüfen).
3. 03

   Schritt 3 im Runbook

   Detection-Regeln

   • Check Point Audit-Logs (Logs & Monitor → Audit, Log Exporter → SIEM): Erfolgreiche Admin-Logins (operation:"Log In") von Quell-IPs außerhalb des Admin-Netzes werten. KQL-Form: CheckPointAudit | where Operation == "Log In" and not(ipv4_is_in_range(SourceIP, "10.10.50.0/24")) (Netz anpassen).
   • Login ohne vorangehende Authentifizierungsereignisse: Admin-Sessions, denen kein regulärer Passwort- oder RADIUS-Auth-Eintrag vorausgeht, sind verdächtig. Ebenso Logins mit ungewöhnlichem Client-Typ oder unbekannter Client-Version. Zusätzlich $FWDIR/log/cpm.elg und $FWDIR/log/fwm.elg auf Session-Erzeugung von fremden IPs prüfen.
   • Post-Exploitation-Aktivität: Alarmieren auf neu angelegte Administratoren, geänderte Trusted Clients, neue Accept-Regeln mit Quelle oder Ziel „Any“, Änderungen an VPN-Communities, Identity-Awareness oder Logging-Einstellungen, außerplanmäßige Install Policy-Vorgänge sowie Exporte der Datenbank. Sigma-Form: logsource: product: checkpoint, service: audit / selection: operation|contains: ["Create Administrator","Install Policy","Modify Trusted Client"].
   • Netzwerktelemetrie (Zeek/Suricata/NetFlow): Verbindungen aus öffentlichen Adressräumen zur Management-IP auf TCP 18190, 19009, 443 und 18264 erfassen. SPL-Form: index=netflow dest_ip=<MGMT_IP> dest_port IN (18190,19009,443,18264) NOT src_ip IN (<ADMIN_NETS>).
   • Gaia-Systemebene: In /var/log/messages bzw. /var/log/secure nach neuen lokalen Benutzern, SSH-Logins von unbekannten IPs und Änderungen an der Cron-Tabelle als Persistenzindikatoren suchen.

Erkennungsregeln

Für diese Schwachstelle liegt noch keine NEOSEC-Erkennungsregel vor.

Einordnung nach NIS2 und CRA

Regelbasierte Einordnung aus Ausnutzungsstatus und Schweregrad. Sie ersetzt keine Prüfung im Einzelfall.

NIS2

NIS2 ist die EU-Richtlinie (EU) 2022/2555 zur Erhöhung des Cybersicherheitsniveaus in der Union. Sie weitet Pflichten gegenüber der ersten NIS-Richtlinie deutlich aus: mehr Sektoren, verbindliches Risikomanagement, gestufte Meldepflichten und persönliche Verantwortung der Geschäftsleitung.

Im Glossar lesen

Aktiv ausgenutzt: Behandeln Sie die Schwachstelle im Schwachstellenmanagement nach Art. 21 Abs. 2 lit. e NIS2 vorrangig. Wird sie in Ihrer Umgebung ausgenutzt, prüfen Sie die Meldepflicht nach Art. 23 (Frühwarnung binnen 24 Stunden).

CRA

Der CRA ist die EU-Verordnung (EU) 2024/2847 mit horizontalen Cybersicherheitsanforderungen an „Produkte mit digitalen Elementen“ — von Industriesteuerungen über Software bis zu vernetzten Verbrauchergeräten. Erstmals müssen Hersteller Sicherheit über den gesamten Produktlebenszyklus gewährleisten, Schwachstellen behandeln und Sicherheitsupdates bereitstellen.

Im Glossar lesen

Seit dem 11.09.2026 müssen Hersteller betroffener Produkte mit digitalen Elementen aktiv ausgenutzte Schwachstellen nach Art. 14 CRA melden, mit Frühwarnung binnen 24 Stunden über die zentrale Meldeplattform der ENISA.

ISO/IEC 27001

ISO/IEC 27001 ist der international führende Standard für ein Informationssicherheits-Managementsystem (ISMS). Er beschreibt einen risikobasierten, prozessorientierten Rahmen, um Informationssicherheit systematisch zu planen, umzusetzen, zu überprüfen und zu verbessern.

Im Glossar lesen

Maßnahme A.8.8, Management technischer Schwachstellen: Relevanz für Ihre Systeme bewerten, Behebung einplanen und nachweisen.

Beschreibung

Ein Umgehungsschwachpunkt in dem Anmeldeprozess von Check Point SmartConsole ermöglicht es einem unauthentifizierten Fernangreifer, ein Anwendungsanmeldetoken zu erhalten und dieses zur Authentifizierung mit vollständigen administrativen Rechten zu verwenden. Eine erfolgreiche Ausnutzung erlaubt dem Angreifer, Sicherheitsrichtlinien und -konfigurationen zu ändern. Die Fernausnutzung erfordert Internetzugang zum IP-Adresse des Management-Servers und eine Konfiguration, die Trusted Clients nicht einschränkt. Check Point ist sich bewusst, dass diese Schwachstelle ausgenutzt wird und sie hat nur eine sehr kleine Anzahl von Kunden betroffen.

Quelle: pwn.watch, NVD (NIST), cvelistv5, CISA KEV Catalog, BSI WID Portal, BSI CSAF

Hersteller und Produkte

• Check Point Smartconsole
• Check Point Multi-domain Security Management
• Check Point Quantum Security Management

Weakness-Klassen (CWE)

• CWE-287Improper Authentication

  Class

  When an actor claims to have a given identity, the product does not prove or insufficiently proves that the claim is correct.

  Eintrag bei MITRE CWE-287

Quellen & Referenzen

• support.checkpoint.comresults/sk/sk185169Mitigation, Patch, Herstellerhinweis
• cisa.govknown-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232government-resource, US-Behörde
• pwn.watchpwn.watch: Check Point SmartConsole: Check Point SmartConsole Improper Authentication Vulnerabilitypwn-watch
• support.checkpoint.comCheck Point SmartConsole — CVE-2026-16232pwn-watch
• NVD (NIST)NVD: CVE-2026-16232pwn-watch
• cisa.govCISA Known Exploited Vulnerabilities Catalogpwn-watch

Änderungen an der CVE

Wer diese CVE wann geändert hat: die NVD (Analyse, betroffene Produkte, CVSS), der Herausgeber der CVE (CNA) und ergänzende Stellen wie CISA (ADP).

1. 10.08.2026Analyse der NVD geändertNVD

   CVSS V3.1: AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232
   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   CVSS	ergänzt	—	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H
   Referenztyp	ergänzt	—	CISA-ADP: https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232 Types: US Government Resource

   Kennung der Quelle: nvd@nist.gov

2. 10.08.2026Eintrag geändertCISA ADP

   Neue Referenzen:

   • https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232
   2 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   Referenz	ergänzt	—	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232
   Referenz	entfernt	https://vincent.vulcoord.net/score/?state=KEV&state=Reassess&excludecna=linux&cve=CVE-2026-16232&analyze=1	—

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

3. 10.08.2026Eintrag geändertCISA ADP

   CVSS V3.1: vorher AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N, nachher —

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Neue Referenzen:

   • https://vincent.vulcoord.net/score/?state=KEV&state=Reassess&excludecna=linux&cve=CVE-2026-16232&analyze=1
   5 Einzeländerungen im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	geändert	{"id":"CVE-2026-16232","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-22T00:00:00+00:00"}	{"id":"CVE-2026-16232","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-23T03:55:51.690584Z"}
   CVSS	entfernt	AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N	—
   Referenz	ergänzt	—	https://vincent.vulcoord.net/score/?state=KEV&state=Reassess&excludecna=linux&cve=CVE-2026-16232&analyze=1
   Referenz	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232	—
   Referenztyp	entfernt	https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve=CVE-2026-16232 Types: US Government Resource	—

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

4. 03.08.2026Analyse der NVD geändertNVD

5. 23.07.2026Eintrag geändertCISA ADP

   CISA-Einschätzung (SSVC): Ausnutzung: aktiv, automatisierbar: ja

   Einzeländerung im Original anzeigen

   Einzeländerungen dieses Ereignisses im Original der NVD

   Art	Aktion	Vorher	Nachher
   SSVC-Einschätzung	geändert	{"id":"CVE-2026-16232","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-22T20:45:04.891100Z"}	{"id":"CVE-2026-16232","role":"CISA Coordinator","options":[{"exploitation":"active"},{"automatable":"yes"},{"technicalImpact":"total"}],"version":"2.0.3","timestamp":"2026-07-22T00:00:00+00:00"}

   Kennung der Quelle: 134c704f-9b21-4f2e-91b3-4a467353bcc0

Eine Übersetzung der NVD in eine andere Sprache ist ausgeblendet.

Verknüpfte Advisories

• @RISK®: The Consensus Security Vulnerability Alert: Vol. 26, Num. 29SANS @RISK30.07.2026
• CISA fügt kritische Check Point-Schwachstelle in den Katalog der bekannten ausgenutzten Schwachstellen einSANS NewsBites27.07.2026
• Mehr als zwei Millionen Fahrzeuge enthalten anfällige DiebstahlschutzsystemeSANS NewsBites21.07.2026