CVE-2026-91843: falha crítica na Check Point permite execução remota como root
Uma vulnerabilidade crítica identificada em servidores Check Point Security Management e Log Server pode permitir que um invasor remoto execute código arbitrário com privilégios de root. Registrada como CVE-2026-91843, a falha recebeu pontuação CVSS 9,8, o que exige tratamento prioritário por parte das organizações que utilizam versões afetadas.
O problema está relacionado a um estouro de pilha no processo de login. A exploração pode ser realizada pela rede, sem autenticação, sem privilégios prévios e sem qualquer interação do usuário. Em um cenário bem-sucedido, o atacante poderia assumir o controle do sistema operacional subjacente com o nível máximo de permissão.
Por que a vulnerabilidade é tão perigosa
A combinação de acesso remoto, baixa complexidade e ausência de autenticação torna a CVE-2026-91843 especialmente grave. O risco não se limita ao servidor diretamente atingido: os componentes de gerenciamento da Check Point normalmente possuem acesso privilegiado a políticas, gateways, registros e configurações de segurança.
Com controle de root, um invasor poderia alterar regras de proteção, modificar configurações, apagar ou manipular logs, instalar mecanismos de persistência e utilizar o servidor comprometido como ponto de entrada para outros ativos da rede. Também seria possível interferir na visibilidade dos eventos e dificultar a investigação de incidentes posteriores.
O impacto potencial envolve os três pilares da segurança da informação: confidencialidade, integridade e disponibilidade. Dados sensíveis podem ser acessados, políticas podem ser adulteradas e serviços essenciais podem sofrer interrupções.
Há exploração ativa?
Até a verificação realizada em 16 de setembro de 2026, não havia confirmação pública de exploração da CVE-2026-91843 em ambientes reais. A Check Point informou que não tinha identificado sinais de uso da falha em ataques conhecidos.
Também não havia, naquele momento, registro confirmado no catálogo de vulnerabilidades exploradas da CISA nem um exploit público validado. Essa situação, porém, não elimina o risco. Vulnerabilidades sem autenticação e com execução remota costumam atrair rapidamente pesquisadores e grupos criminosos após a divulgação dos detalhes técnicos.
A ausência de exploração conhecida deve ser vista como uma janela para correção, e não como garantia de segurança. Organizações que adiam a atualização podem ficar expostas caso surjam ferramentas automatizadas ou campanhas direcionadas.
Versões afetadas
Os registros públicos associados à falha apontam impacto em versões do Quantum Security Management que estejam nos seguintes níveis ou abaixo deles:
– R82.10: Jumbo Hotfix Take 44 ou inferior;
– R82: Take 126 ou inferior;
– R81.20: Take 166 ou inferior;
– R81.10: Take 190 ou inferior.
Também aparecem como afetadas as versões R81, R80.40, R80.30, R80.20, R80.10 e R80, que já estão fora do ciclo regular de suporte. Nesses casos, o risco é maior, pois a organização pode não receber correções convencionais ou ter dificuldades para validar a compatibilidade de atualizações.
O Smart-1 Cloud não é afetado, segundo a Check Point, porque a correção já foi aplicada ao serviço.
Correção recomendada pela Check Point
A orientação principal do fabricante é instalar o LivePatch indicado no artigo de suporte sk1000155. Clientes que mantêm as atualizações automáticas ativadas já estariam protegidos conforme a comunicação oficial da empresa.
Ainda assim, não é recomendável presumir que todos os ativos foram atualizados automaticamente. A equipe responsável deve confirmar o status em cada servidor, verificar a versão instalada e registrar evidências da aplicação do patch.
Como medida complementar, a Check Point recomenda seguir as práticas de hardening para ambientes de Management e Gateway. Também é importante restringir o acesso de Trusted Clients a endereços IP internos, específicos e previamente conhecidos.
O que as empresas devem fazer agora
O primeiro passo é elaborar um inventário dos servidores Check Point em operação. Devem ser identificados o produto, a versão, o Jumbo Hotfix, a exposição de rede e a função desempenhada por cada equipamento.
Em seguida, a equipe deve priorizar os servidores acessíveis a partir de redes externas, segmentos de terceiros ou áreas com baixo nível de confiança. Mesmo quando o serviço não está diretamente publicado na internet, uma segmentação inadequada pode permitir que um invasor já presente na rede alcance o componente vulnerável.
Após a instalação do LivePatch, é necessário validar o funcionamento das políticas, gateways, serviços de autenticação e mecanismos de registro. A atualização deve ser acompanhada por uma análise dos logs para detectar comportamentos anormais antes e depois da correção.
Medidas de contenção
Enquanto a correção não puder ser aplicada, a organização deve reduzir a superfície de ataque. Entre as medidas possíveis estão:
– restringir o acesso às interfaces de gerenciamento;
– bloquear conexões provenientes de redes não confiáveis;
– permitir apenas endereços administrativos previamente autorizados;
– revisar regras de firewall e listas de controle;
– separar servidores de gerenciamento dos demais segmentos;
– reforçar o monitoramento de tentativas de login e conexões incomuns;
– preservar logs para investigação forense.
Essas ações não substituem o patch. Elas servem apenas para diminuir a probabilidade de exploração durante a janela de manutenção.
Como investigar sinais de comprometimento
Equipes de segurança devem procurar processos inesperados, alterações recentes em arquivos do sistema, contas administrativas desconhecidas e mudanças não autorizadas em políticas. Também é importante analisar picos de tráfego, conexões de saída incomuns e tentativas repetidas de acesso ao processo de login.
A integridade dos registros precisa ser considerada. Um invasor com privilégios de root pode tentar apagar evidências ou modificar eventos. Sempre que possível, os logs devem ser encaminhados para uma plataforma externa e protegida contra alteração.
Caso existam indícios de exploração, o servidor deve ser isolado de forma controlada, preservando evidências antes de reinicializações ou reinstalações. A organização também deve revisar credenciais, certificados, chaves administrativas e integrações que possam ter sido acessadas pelo equipamento.
O risco para o negócio
Servidores de gerenciamento de segurança são ativos estratégicos. Eles concentram permissões, políticas e informações necessárias para a operação da infraestrutura protegida. Por isso, seu comprometimento pode afetar diversos sistemas simultaneamente.
Além do impacto técnico, uma invasão pode provocar indisponibilidade de serviços, perda de confiança, exposição de dados, custos de recuperação e problemas regulatórios. Em setores críticos, a alteração indevida de políticas de firewall pode interromper operações ou abrir caminhos para ataques contra sistemas industriais, financeiros e corporativos.
A classificação CVSS 9,8 reforça a gravidade, mas a prioridade deve ser definida também pela função do ativo, pelo nível de exposição e pela importância dos sistemas administrados.
Conclusão
A CVE-2026-91843 representa uma ameaça de alto impacto para instalações Check Point que utilizam versões vulneráveis. Embora não houvesse confirmação pública de exploração ativa até 16 de setembro de 2026, a possibilidade de execução remota sem autenticação e com privilégios de root exige ação imediata.
As organizações devem confirmar as versões instaladas, aplicar o LivePatch recomendado, restringir o acesso às interfaces de gerenciamento e monitorar sinais de comprometimento. Ambientes fora de suporte precisam ser tratados como prioridade, com planejamento para atualização ou migração, pois permanecer em software legado amplia a exposição e dificulta uma resposta sustentável.