A Rapid7 publicou uma análise técnica de causa raiz e um script de prova de conceito (PoC) para a CVE-2026-16232, uma falha crítica de bypass de autenticação na SmartConsole da Check Point que já está a ser explorada ativamente. A 28 de julho de 2026, o Rapid7 Labs publicou uma análise técnica completa da causa raiz da CVE-2026-16232, detalhando como um atacante não autenticado pode explorar a vulnerabilidade para iniciar sessão num equipamento vulnerável através da SmartConsole com privilégios totais de administrador. A vulnerabilidade permite tomar o controlo do servidor de gestão que está no topo da hierarquia de confiança de toda a infraestrutura de firewalls Check Point.
Resposta rápida: A CVE-2026-16232 é um bypass de autenticação na SmartConsole da Check Point, já explorado num pequeno número de clientes com servidores de gestão expostos à internet. A Check Point lançou Jumbo Hotfixes a 22 de julho de 2026 e a CISA adicionou a falha ao seu catálogo KEV. Com um PoC agora público, aplique o hotfix em regime de emergência, restrinja os Trusted Clients e investigue sinais de comprometimento, mesmo depois de corrigir.
O que é a CVE-2026-16232
A 22 de julho de 2026, a Check Point publicou um aviso de segurança para múltiplas vulnerabilidades que afetam produtos de Security Management, Multi-Domain Management e firewall, sendo a mais urgente a CVE-2026-16232, um bypass de autenticação no processo de login da SmartConsole classificado como autenticação indevida (CWE-287). A vulnerabilidade permite que um atacante remoto não autenticado obtenha um token de login de aplicação e se autentique no servidor de gestão com privilégios totais de administrador, possibilitando a modificação de políticas e configurações de segurança.
Há uma pequena divergência entre fontes quanto à pontuação de severidade. A Rapid7 atribui à CVE-2026-16232 uma pontuação CVSS crítica de 9,1. Já o registo público da falha e vários fornecedores apontam para um valor ligeiramente superior: o CVE.org descreve a CVE-2026-16232 com uma pontuação CVSS de 9,3, como um bypass de autenticação que afeta o processo de login da SmartConsole e permite a um atacante remoto não autenticado obter um token de login de aplicação e usá-lo para se autenticar com privilégios totais de administrador. Em qualquer dos casos, trata-se de uma falha de gravidade crítica.
A exploração não é universal — depende de uma exposição específica. A exploração remota exige acesso à internet ao endereço IP do Management Server e uma configuração que não restrinja os Trusted Clients; Lotem Finkelstein, vice-presidente de investigação da Check Point, afirmou que a empresa tem conhecimento de um punhado de clientes visados por esta falha e que já os notificou. Segundo Finkelstein, isto só afeta uma configuração muito específica — quando a gestão está exposta diretamente à internet sem restrições de IP.
Porque é que o PoC da Rapid7 muda o cenário
A publicação de uma análise técnica com um PoC baixa a fasquia técnica para potenciais atacantes e obriga as equipas de defesa a agir com urgência. A análise da Rapid7 conclui que a causa raiz da CVE-2026-16232 é uma fronteira de confiança quebrada no caminho de autenticação da aplicação: um servidor vulnerável aceita um distinguished name (DN) de Secure Internal Communication (SIC) fornecido pelo atacante como identidade de uma aplicação remota, em vez de vincular essa identidade ao DN do certificado do par remoto autenticado devolvido por getCertificateDnName().
Segundo a análise, um atacante pode ler o próprio DN de SIC do servidor de gestão durante a comunicação de bootstrap não autenticada, reproduzir esse DN num bind de certificado de aplicação forjado, obter um token de aplicação e depois pedir ao serviço de gestão legado que emita um novo bilhete de single sign-on (SSO) da SmartConsole. O Rapid7 Labs reproduziu a CVE-2026-16232 contra versões afetadas R81.20 e R82.10, e o seu script de PoC pode ser usado para validar com sucesso se um alvo está vulnerável ou corrigido.
Do ponto de vista técnico, o exploit combina dois serviços internos da plataforma. O primeiro é o serviço legado FWM/CPMI, à escuta em TCP 18190, que usa SIC — o mecanismo de confiança baseado em certificados da Check Point para comunicação entre componentes de gestão — e, depois do bootstrap de SIC, o FWM troca objetos “FwSet” com prefixo de comprimento. O segundo é o serviço mais recente CPM/DLE, que expõe serviços SOAP sobre HTTPS em TCP 19009 sob o caminho /cpmws/ e é usado pela SmartConsole para login, consultas e operações sobre objetos, com pedidos autenticados a transportar os valores de cabeçalho DLESESSIONID e CLIENTSESSIONID.
Versões afetadas, correção e a “jumbo hotfix”
A CVE-2026-16232 afeta várias versões suportadas e em fim de serviço do Check Point Security Management e do Multi-Domain Security Management, existindo hotfixes disponíveis para as versões suportadas R81.20, R82 e R82.10. A Check Point lançou os Jumbo Hotfixes a 22 de julho de 2026 para remediar a CVE-2026-16232, a CVE-2026-62144 e a CVE-2026-62145. De acordo com a Check Point, os clientes de Smart-1 Cloud já estão protegidos.
As três falhas corrigidas em conjunto estão relacionadas e partilham requisitos de exploração semelhantes. Os jumbo hotfixes também corrigem a CVE-2026-62144, uma vulnerabilidade igualmente crítica que permite a atacantes não autenticados executar comandos administrativos no Management Server e depois executar comandos nos security gateways geridos, e a CVE-2026-62145, uma vulnerabilidade no Gaia Portal — a interface de gestão web do sistema operativo da Check Point. Segundo os níveis de correção indicados por fornecedores terceiros, a mitigação passa por instalar o Jumbo Hotfix Accumulator adequado a cada família de versões.
| Data (2026) | Acontecimento |
|---|---|
| 22 de julho | Check Point publica o aviso e lança Jumbo Hotfixes para CVE-2026-16232, CVE-2026-62144 e CVE-2026-62145 |
| 22 de julho | CISA adiciona a CVE-2026-16232 ao catálogo KEV |
| 25 de julho | Prazo de remediação definido pela CISA para agências federais civis dos EUA |
| 28 de julho | Rapid7 Labs publica análise de causa raiz e PoC |
Mitigação e resposta recomendadas
No mesmo dia do aviso, a CVE-2026-16232 foi adicionada à lista de vulnerabilidades conhecidas exploradas (KEV) da CISA, com um prazo de remediação a 25 de julho de 2026, dando às organizações apenas três dias para responder. Para quem não consiga aplicar o hotfix de imediato, as medidas de mitigação são claras.
- Restringir os Trusted Clients (clientes GUI) a endereços IP ou sub-redes de confiança.
- Proteger o acesso de gestão com uma firewall e restringir o acesso a endereços IP de confiança.
- Verificar que as regras implícitas para ligações de controlo estão ativas.
É importante sublinhar que estas medidas não substituem a correção. Segundo a Rapid7, estas mitigações reduzem a superfície de ataque, mas não corrigem a vulnerabilidade subjacente — instalar o Jumbo Hotfix continua a ser a prioridade. E aplicar o hotfix não encerra o incidente: a Rapid7 recomenda vivamente investigar sinais de comprometimento mesmo depois de aplicar o hotfix, sobretudo em ambientes onde o Management Server esteve acessível a partir da internet, revendo a atividade de administradores, SmartConsole, API e tokens de aplicação e procurando nos logs os indicadores de comprometimento publicados.
Um padrão de ataques a fornecedores de segurança de rede
Esta falha não surge isolada. Os produtos de segurança de rede da Check Point têm sido alvo de múltiplas vulnerabilidades exploradas ativamente nos últimos dois anos. Em junho de 2026, a CVE-2026-50751, um bypass de autenticação crítico no Check Point Remote Access VPN, foi explorado e adicionado à KEV da CISA; e em maio de 2024, a CVE-2024-24919, uma vulnerabilidade de divulgação de informação de alta gravidade nos Quantum Security Gateways, também foi explorada. Os dispositivos de perímetro e as consolas de gestão continuam a ser alvos preferenciais, precisamente por concentrarem confiança e visibilidade sobre toda a rede.
Porque é que isto importa em Portugal
Muitas organizações portuguesas — administração pública, saúde, energia, telecomunicações e PME de todos os setores — usam gateways e servidores de gestão Check Point para proteger o perímetro e as ligações VPN. Um servidor de gestão comprometido significa que o atacante controla as regras que todas as firewalls obedecem, podendo alterar políticas, permissões de administrador e configurações de VPN, e até desativar o registo de eventos. Neste contexto, o novo Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) reforça obrigações de gestão de vulnerabilidades e de notificação de incidentes para entidades abrangidas, com o CNCS/CERT.PT como ponto de contacto nacional. Se um incidente envolver dados pessoais, aplicam-se também as obrigações de notificação previstas no RGPD perante a autoridade de controlo. Verificar se algum servidor de gestão Check Point está exposto à internet, aplicar o hotfix e caçar sinais de comprometimento deve ser prioridade imediata para qualquer equipa de segurança em Portugal.
Perguntas frequentes
A minha organização está em risco se usar Check Point?
O risco maior existe quando o servidor de gestão (Security Management ou Multi-Domain Management) está exposto diretamente à internet e não restringe os Trusted Clients. Segundo a Check Point, isto só afeta uma configuração muito específica — quando a gestão está exposta diretamente à internet sem restrições de IP. Ainda assim, deve aplicar o hotfix e restringir o acesso mesmo que julgue não estar exposto.
Que versões preciso de corrigir?
A falha afeta várias versões suportadas e em fim de serviço do Security Management e Multi-Domain Security Management, com hotfixes disponíveis para as versões suportadas R81.20, R82 e R82.10. Instale o Jumbo Hotfix Accumulator adequado à sua versão em regime de emergência.
Aplicar o hotfix resolve tudo?
Não necessariamente. A Rapid7 recomenda vivamente investigar sinais de comprometimento mesmo depois de aplicar o hotfix, sobretudo em ambientes onde o Management Server esteve acessível a partir da internet. Reveja a atividade de administradores, SmartConsole, API e tokens, e procure os indicadores de comprometimento publicados pelo fornecedor.
O que faço se não puder aplicar o hotfix já?
A Check Point recomenda restringir os Trusted Clients a endereços IP ou sub-redes de confiança, proteger o acesso de gestão com uma firewall limitando-o a IP de confiança e verificar que as regras implícitas para ligações de controlo estão ativas. Estas medidas reduzem a superfície de ataque, mas o hotfix continua a ser a prioridade.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Check Point, pela Rapid7, pela CISA e pelo registo CVE.org.