Trusted Design

CVE-2026-16232 の詳細

CVEの情報

説明:
An authentication bypass vulnerability in the Check Point SmartConsole login process allows an unauthenticated remote attacker to obtain an application login token and use it to authenticate with full administrative privileges. Successful exploitation allows the attacker to modify security policies and security configurations. Remote exploitation requires internet access to the Management Server IP address and a configuration that does not restrict Trusted Clients. Check Point is aware that this vulnerability is being exploited and has affected a very small number of customers.

CVE更新日: 2026-07-22 14:17:15.513000

CVSSバージョン: 3.1

CVSSスコア: 9.1

KEVの情報

KEV更新日: 2026-07-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.779720000

EPSS更新日: 2026-10-16 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: low

Automatable: True

AIを使った解説

解説:

CVE-2026-16232は、Check Pointのセキュリティ管理GUIであるSmartConsoleにおける認証バイパスの脆弱性です。

1. 脆弱性の概要

CVE-2026-16232は、Check Point SmartConsoleのログイン処理におけるアプリケーショントークンの取り扱いに起因する認証バイパスの脆弱性です。未認証の攻撃者がアプリケーショントークンを不正に取得し、フル管理者権限でSmartConsoleにログインできてしまう問題です。攻撃者はログイン後、セキュリティポリシーやセキュリティ設定を自由に改変することが可能になります。 Check Point社は、この脆弱性が一部の顧客環境で悪用されていることを確認しています。

1.1 影響

本脆弱性が悪用された場合、未認証の攻撃者が管理者権限で管理サーバーにログインし、セキュリティポリシーや構成を自由に改変することが可能になります。これにより、ファイアウォールルールの無効化、通信の全許可への変更など、セキュリティ機器そのものの防御機能が破壊されるリスクがあります。

1.2 深刻度

CVSSスコアは9.1または9.3とされており、深刻度は「Critical（緊急）」に分類されています。 米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は、この脆弱性を既知の悪用された脆弱性（KEV）カタログに追加し、米連邦機関に対し2026年7月25日までのパッチ適用を義務付けました。

2. 対象となる環境

2.1 影響を受けるOSバージョン

Check PointのSecurity Management ServerおよびMulti-Domain Security Management Serverが影響を受けます。具体的には、以下のバージョンが対象です。

  • R77.30
  • R80
  • R80.10
  • R80.20
  • R80.30
  • R81
  • R81.10
  • R81.20
  • R82
  • R82.10

このうち、R77.30からR81.10は既にサポートが終了（End of Support / EOS）しており、修正パッチは提供されません。

2.2 影響を受ける設定

リモートからの悪用が成立する主な条件は以下の2点です。

  • 管理サーバーのIPアドレスがインターネットからアクセス可能であること。
  • Trusted Clients（GUIクライアント）が制限されていない、つまり「Any」が許可されている設定であること。

これらの条件を満たさない環境、例えば管理面をインターネットから隔離し、Trusted Clientsを必要最小限に制限している環境では、リモートからの悪用の前提を満たしません。

3. 影響を受けた時の兆候

Check Pointの公式アドバイザリ (sk185169) では、侵害の有無を確認する方法が提供されています。 具体的には、SmartConsoleの「Logs & Monitor」/「Logs & Events」で以下の情報を検索することで確認できます。

  • 既知の攻撃者IPアドレス（公式アドバイザリで提供されている5つのIPアドレス）のいずれかと一致する送信元IPまたは宛先IPを持つイベント。
  • 「Authentication method: application token」のログエントリ。

4. 推奨対策

4.1 本対策

以下のJumbo Hotfix Accumulatorを適用することで、脆弱性が修正されます。

  • R82.10: Jumbo Hotfix Accumulator Take 36以降
  • R82: Jumbo Hotfix Accumulator Take 118以降
  • R81.20: Jumbo Hotfix Accumulator Take 158以降

サポート終了バージョン（R77.30からR81.10）を使用している場合は、Hotfixによる根本的な修正ができないため、サポート対象バージョン（R81.20 / R82 / R82.10）への移行を計画する必要があります。

4.2 暫定回避策（緩和策）

すぐにパッチを適用できない場合、以下の緩和策を講じることで攻撃成立の前提条件を排除できます。

  • 管理サーバーのインターネット露出を避ける: 管理サーバーのIPアドレスがインターネットから直接到達可能でないように設定します。
  • Trusted Clientsのアクセス制限: SmartConsoleのGUIクライアントからの接続元IPアドレスを必要最小限の信頼できるIPアドレスに制限します。
  • ファイアウォールによる管理アクセス保護: 管理アクセスを許可するImplied Rule（暗黙のルール）が有効になっていることを確認し、非承認IPアドレスからの管理アクセスを防止します。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る