A CVE-2026-91843 coloca administradores de infraestrutura e equipes de SecOps diante de uma vulnerabilidade crítica nos servidores de gerenciamento e registro da Check Point. Classificada com CVSS 9.8, a falha consiste em um estouro de pilha durante o processo de login e pode permitir que um atacante remoto, sem autenticação, execute código arbitrário com privilégios de root.
O problema merece atenção imediata porque o componente vulnerável pertence ao plano de gerenciamento da infraestrutura de segurança. Diferentemente de uma falha restrita a um serviço periférico, uma exploração bem-sucedida contra esse tipo de servidor pode colocar em risco sistemas usados para administrar políticas, gateways e configurações de segurança.
A Check Point disponibilizou correções por meio do LivePatch, enquanto determinadas versões antigas, já fora do ciclo de suporte, exigem tratamento específico junto ao fabricante. Até o momento, não há indicação confirmada de exploração da CVE-2026-91843 em ataques reais nem um PoC público conhecido. Isso, porém, não elimina a necessidade de correção imediata.
Entendendo a CVE-2026-91843 e o estouro de pilha no login
A CVE-2026-91843 afeta o processo de login utilizado pelos Security Management Servers e Log Servers da Check Point. O problema ocorre antes da conclusão da autenticação e está relacionado ao tratamento de um nome de usuário excessivamente longo.
Em termos técnicos, trata-se de uma vulnerabilidade de stack-based buffer overflow, classificada como CWE-121. Uma requisição de login especialmente construída pode provocar a escrita de dados além dos limites esperados na memória da pilha. Em determinadas condições, isso abre caminho para execução remota de código.
O aspecto mais preocupante é a combinação dos principais elementos do vetor de ataque: acesso pela rede, baixa complexidade, ausência de autenticação e ausência de interação do usuário. O vetor CVSS 3.1 registrado para a vulnerabilidade é AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H, resultando em 9.8, classificação crítica.
Na prática, o atacante não precisa primeiro obter uma conta administrativa para tentar atingir o componente vulnerável. O objetivo seria enviar uma solicitação de login manipulada capaz de explorar o tratamento inadequado do campo de usuário.
Isso também explica por que a exposição do servidor de gerenciamento é tão importante. Uma interface administrativa acessível diretamente pela internet amplia consideravelmente a superfície de ataque, especialmente quando não existem controles adicionais de rede.
O papel da configuração de clientes confiáveis
A configuração Trusted Clients é uma das principais barreiras que os administradores devem revisar.
No SmartConsole, essa configuração pode ser encontrada em Manage & Settings > Permissions & Administrators > Trusted Clients. A recomendação de segurança é restringir o acesso a endereços IP ou sub-redes explicitamente autorizados, evitando configurações que aceitem clientes de qualquer origem.
Essa medida não deve ser interpretada como substituta do patch. Ela funciona como controle compensatório para reduzir a exposição enquanto a correção é aplicada ou quando existe alguma limitação operacional.
A própria orientação de hardening da Check Point recomenda evitar acesso direto da internet ao gerenciamento e utilizar mecanismos como VPN para proteger o acesso administrativo.
Portanto, o cenário mais perigoso é aquele em que o servidor de gerenciamento permanece acessível pela internet, especialmente sem restrições de clientes confiáveis.
Cenários e arquiteturas afetadas
A vulnerabilidade não está limitada a uma única função de gerenciamento. Os produtos afetados incluem Security Management Server, Multi-Domain Security Management Server, Log Server e Multi-Domain Log Server.
Também há impacto em implantações standalone quando o componente de gerenciamento está presente. A confirmação divulgada posteriormente pela Check Point esclareceu que esses ambientes também devem ser tratados como vulneráveis.
É importante diferenciar isso dos Security Gateways utilizados exclusivamente como gateways. A falha está associada ao componente de gerenciamento e aos servidores de log, e não simplesmente ao fato de um equipamento executar funções de firewall.
Outro ponto relevante é o Smart-1 Cloud. Segundo a análise da Censys baseada no aviso da Check Point, a oferta hospedada em nuvem não é afetada, pois a correção já havia sido implantada pelo fabricante no serviço.
Versões afetadas pela CVE-2026-91843 e matriz de atualização
A situação varia de acordo com a versão do produto e o Jumbo Hotfix Take instalado. A matriz divulgada para a vulnerabilidade é a seguinte:
| Versão | Situação |
|---|---|
| R82.20 | Todos os builds estão afetados; correção via LivePatch Take 29 |
| R82.10 | Take 44 ou anterior afetado; correção via LivePatch Take 28 |
| R82 | Take 126 ou anterior afetado; correção via LivePatch Take 28 |
| R81.20 | Take 166 ou anterior afetado; correção via LivePatch Take 28 |
| R81.10 | Take 190 ou anterior, versão fora de suporte |
| R81 | Fora de suporte |
| R80.40 | Fora de suporte |
| R80.30 | Fora de suporte |
| R80.20 | Fora de suporte |
| R80.10 | Fora de suporte |
| R80 | Fora de suporte |
Um detalhe merece atenção especial: R82.20. De acordo com os dados publicados após o alerta, todos os builds dessa versão estão vulneráveis e não há um Jumbo Hotfix convencional que, por si só, resolva o problema. A proteção é distribuída pelo LivePatch.
Nas versões mais antigas, a situação é ainda mais delicada. Sistemas R81.10, R81 e R80.x estão fora de suporte, portanto não devem ser tratados como ambientes que receberão normalmente as mesmas atualizações das branches atuais. Para esses casos, é necessário recorrer ao suporte da Check Point ou planejar a migração para uma versão suportada.
Como verificar e aplicar o LivePatch no seu servidor
O primeiro passo é identificar exatamente a versão e o Jumbo Hotfix em execução no servidor de gerenciamento ou de log. Não presuma que uma atualização automática foi instalada apenas porque o recurso está habilitado.
No Expert mode, utilize:
cplp listO comando permite verificar os LivePatches instalados e o respectivo estado. Após a correção, o administrador deve confirmar a presença do patch relacionado à CVE-2026-91843. A orientação de órgãos de segurança que reproduzem o aviso da Check Point também recomenda essa verificação explícita.
Para ambientes que utilizam o mecanismo de atualizações automáticas da Check Point, é importante conferir a configuração correspondente ao procedimento descrito no sk175504. A documentação relacionada às atualizações automáticas determina que o ambiente esteja configurado para receber e instalar atualizações importantes.
Depois da atualização, execute novamente:
cplp liste confirme que o LivePatch associado à CVE-2026-91843 aparece instalado e ativo.
Como a disponibilidade e o procedimento podem variar conforme a versão e o ambiente, administradores não devem substituir a orientação do fabricante por comandos obtidos de fontes não oficiais. O caminho recomendado é seguir o sk1000155, confirmar a versão instalada e validar o resultado com cplp list.
Medidas de contenção enquanto a correção não foi concluída
Se o patch ainda não puder ser aplicado imediatamente, a prioridade deve ser reduzir a exposição do plano de gerenciamento.
Revise a configuração de Trusted Clients e permita somente os endereços e redes administrativas necessários. Evite qualquer configuração equivalente a acesso irrestrito.
Também é recomendável retirar interfaces de gerenciamento da exposição direta à internet e exigir VPN ou outro mecanismo de acesso administrativo protegido. Essas medidas não corrigem a vulnerabilidade, mas reduzem a quantidade de origens que podem alcançar o serviço vulnerável.
A Censys identificou 3.836 hosts globalmente apresentando a identidade associada às funções de gerenciamento e log da Check Point. O número não representa a quantidade de sistemas vulneráveis, já que a varredura não consegue determinar o build ou o Jumbo Hotfix instalado, mas demonstra que existem milhares de sistemas com funções de gerenciamento identificáveis na internet.
Por isso, equipes de segurança também devem revisar logs de autenticação, eventos administrativos e registros de rede em busca de atividades anômalas relacionadas ao serviço de gerenciamento.
Aumento nos ataques contra sistemas de gerenciamento
A CVE-2026-91843 surge em um período de forte atenção sobre a superfície de gerenciamento da Check Point. Segundo levantamento publicado pelo The Hacker News, esta é a quinta vulnerabilidade crítica alcançável sem autenticação no Security Management Server desde julho de 2026. Entre os casos anteriores estão a CVE-2026-16232, explorada em julho, além das CVE-2026-62144, CVE-2026-18574 e CVE-2026-85103.
Esse histórico não significa que todas as falhas tenham sido exploradas da mesma maneira. A CVE-2026-16232, por exemplo, teve exploração registrada, enquanto não há, até o momento, confirmação pública de exploração da CVE-2026-91843. Também não existe um PoC público conhecido para a vulnerabilidade no momento da publicação deste alerta.
Ainda assim, uma vulnerabilidade pré-autenticação com capacidade potencial de execução como root exige tratamento prioritário. Sistemas de gerenciamento concentram informações e funções que podem afetar toda uma infraestrutura de rede.
Para administradores de Linux, Unix, redes e SecOps, a recomendação prática é direta: identifique todos os servidores Check Point afetados, confirme o Jumbo Hotfix, verifique o LivePatch com cplp list, restrinja Trusted Clients e elimine a exposição direta do gerenciamento à internet.
A correção deve ser tratada como uma atividade de emergência, principalmente em ambientes que utilizam versões vulneráveis ou mantêm interfaces administrativas acessíveis externamente. Compartilhar esse alerta com outras equipes responsáveis por firewalls e infraestrutura também pode ajudar a reduzir rapidamente a superfície de exposição.
A CVE-2026-91843 não deve esperar pela próxima janela convencional de manutenção. Verifique seus servidores Check Point agora e confirme, tecnicamente, que a proteção foi realmente aplicada.
