CVE詳細 - CVE-2026-93616-

CVE-2026-93616 の詳細

CVEの情報

説明:
A directory traversal and file upload vulnerability allows an unauthenticated attacker to upload and execute arbitrary scripts on Check Point Management Server.

CVE更新日: 2026-09-22 13:17:11.963000

CVSSバージョン: 3.1

CVSSスコア: 9.8

KEVの情報

KEV更新日: 2026-09-22

EPSSの情報

EPSSは脆弱性が今後30日以内に悪用される確率を予測するスコアリングシステムで、FIRST（Forum of Incident Response and Security Teams）が提供しています。
EPSSのスコアが高いということは、攻撃されるリスクが高いことを意味するので、早めの対策が必要です。

EPSSスコア: 0.758720000

EPSS更新日: 2026-10-15 00:00:00

SSVCの情報

SSVCはカーネギーメロン大学ソフトウェア工学研究所が提案する脆弱性の評価手法です。ステークホルダーごとに脆弱性対応の優先度を決定することを支援します。
本サイトでは、CVE、KEV、EPSSの内容からExploitation（悪用状況）、Technical Impact（技術的影響）、Automatable（自動攻撃の可否）を判定します。

Exploitation: active

Technical Impact: high

Automatable: True

AIを使った解説

解説:

CVE-2026-93616に関する調査結果を以下に解説します。

1. 脆弱性の概要

CVE-2026-93616は、Check Point Management Webサービスに存在する、認証前のパストラバーサルおよびファイルアップロードの脆弱性です。この脆弱性は、CWE-22（制限されたディレクトリへのパス名の不適切な制限）に分類されています。

1.1 影響

認証されていない攻撃者が、脆弱な管理サーバー上で任意のスクリプトをアップロードし、実行できる可能性があります。また、任意のJavaクラスをロードすることも可能です。この脆弱性の悪用に成功すると、攻撃者はシステムを完全に侵害し、データの窃取、改ざん、オフライン化が可能になります。管理サーバーが侵害された場合、セキュリティポリシーの変更、管理データの改ざん、機密性の高い構成情報の取得、永続性の確立、ログ操作、または侵害されたサーバーによって管理されるシステムへのピボットなど、さらなる侵入活動をサポートする可能性があります。Check Pointは、2026年7月23日から少数の顧客に対する標的型攻撃でこの脆弱性が悪用されていたことを確認しており、ゼロデイ脆弱性として扱われています。

1.2 深刻度

CVSS v3.1のスコアは9.8（Critical）と評価されています。Check Point自身もこの脆弱性の深刻度を「High」と評価しています。米CISA（サイバーセキュリティ・インフラセキュリティ庁）は、2026年9月22日にこの脆弱性を「Known Exploited Vulnerabilities (KEV) Catalog」に追加しており、積極的に悪用されていることが示されています。

2. 対象となる環境

2.1 影響を受ける製品およびOSバージョン

この脆弱性は、以下のCheck Point製品に影響します。

Security Management Server
Multi-Domain Security Management Server
Log Server
Multi-Domain Log Server
SmartEvent

影響を受けない製品は以下の通りです。

Smart-1 Cloud（修正が既に適用済み）
Check Point Firewall Appliances
Check Point Spark Firewall（ただし、影響を受ける管理機能が同じシステム上に存在しない場合）

影響を受けるバージョンは以下の通りです。

R82.20 (Jumbo Hotfixがインストールされていない場合)
R82.10 Jumbo Hotfix Take 44以前
R82 Jumbo Hotfix Take 126以前
R81.20 Jumbo Hotfix Take 166以前
R81.10 Jumbo Hotfix Take 190以前 (End of Support - EoS)
R80, R80.10, R80.20, R80.30, R80.40, R81 (すべてEnd of Support - EoS)

2.2 影響を受ける設定

脆弱性はCheck Point ManagementのWebサービスに存在します。この脆弱性は認証を必要としない（pre-authentication）ため、特別な設定やユーザー操作なしでネットワーク経由で悪用される可能性があります。

3. 影響を受けた時の兆候

以下の兆候がないか、すべてのSecurity Management、Multi-Domain Security Management、Log、Multi-Domain Log、SmartEventサーバーで確認することが推奨されます。

管理サーバーのWebルートまたはアプリケーションディレクトリへの異常なスクリプトのアップロードやファイルの書き込み。
Expertモードで以下のコマンドを実行し、異常なログがないか確認。 bash grep -nHP "login\(loginRequest=LoginRequest\{authenticationInfo=AuthenticationInfoBase\{username='[^' ]{1001,}'"
セキュリティポリシー、クレデンシャル、証明書、管理者アカウント、またはその他の機密性の高い管理データへのアクセスまたは変更の有無。
侵害された管理インフラストラクチャから発生した、管理対象ゲートウェイまたはその他のシステムへの変更。

4. 推奨対策

4.1 本対策

影響を受けるすべての管理、ログ、マルチドメイン、およびSmartEventシステムにパッチを適用することが主要な緩和策です。

以下のFixed ReleasesまたはJumbo Hotfixを適用してください。

R82.20: Security Hotfix Take 1
R82.10: Jumbo Hotfix Take 45以降
R82: Jumbo Hotfix Take 127以降
R81.20: Jumbo Hotfix Take 170以降
R81.10: Jumbo Hotfix Take 192以降

注意点: 別の脆弱性CVE-2026-91843向けに配布されたLivePatch Take 28/29では、このCVE-2026-93616は修正されません。

4.2 暫定回避策（緩和策）

修正をすぐにインストールできない環境では、以下の暫定回避策が推奨されます。

管理サーバーをセキュリティゲートウェイ/Check Point Firewallの背後に配置し、ネットワークアクセスを制限する。
TCPポート19009へのアクセスを、信頼できるIPアドレスのみに制限する。これはSmartConsoleの「Manage & Settings」>「Permissions & Administrators」>「Trusted Clients」で設定できます。
異常なファイルアップロード、スクリプト実行、またはサーバーからの疑わしいアウトバウンド接続を検出するために、堅牢なネットワーク侵入検知システム（NIDS）およびホストベースのセキュリティ監視（HIDS）を導入する。
管理サーバーの構成とデータを定期的にバックアップする。
侵害の証拠が発見された場合、インシデント対応者は、セキュリティポリシー、クレデンシャル、証明書、管理者アカウント、または他の機密管理データへのアクセスまたは変更があったかどうかを判断すべきです。漏洩した可能性のある認証情報はローテーションし、管理対象のゲートウェイは、侵害された管理インフラストラクチャから発生した変更について検討すべきです。

5. 他に解説すべき観点

ゼロデイ攻撃: Check Pointは2026年7月23日からこの脆弱性を悪用した標的型攻撃を観測しており、修正が公開される前に悪用されていたゼロデイ脆弱性です。
CISA KEVカタログへの追加: 米CISAは2026年9月22日にCVE-2026-93616をKnown Exploited Vulnerabilities（KEV）Catalogに追加しました。連邦政府機関に対しては、2026年9月25日までに修正を適用する期限が設定されました。
事後調査の推奨: 修正を適用することは将来の悪用リスクを低減しますが、修正適用以前に侵害を受けていなかったことを証明するものではありません。そのため、パッチ適用前に脆弱なシステムを運用していた期間がある場合は、侵害の痕跡がないか事後調査を実施することが強く推奨されます。Check Pointは、侵害の痕跡（IoC）を確認するためのハンティングガイダンスをサポートアドバイザリsk1000171を通じて公開しています。

参照したサイト

NVDサイト

NVDでCVEの詳細を見る

戻る