Los investigadores de ciberseguridad han compartido detalles técnicos adicionales sobre una falla de seguridad crítica recientemente parcheada que afecta a Check Point Security Management Server y Multi-Domain Security Management Server (MDS) y que ha sido objeto de explotación activa en la naturaleza.
La vulnerabilidad, rastreada como CVE-2026-16232 (Puntuación CVSS: 9,3), es una omisión de autenticación en el proceso de inicio de sesión de SmartConsole que permite a un atacante remoto no autenticado obtener un token de inicio de sesión de la aplicación y usarlo para autenticarse con privilegios administrativos completos.
«Al aprovechar CVE-2026-16232, un atacante no autenticado puede obtener un token de inicio de sesión de la aplicación, utilizar este token para iniciar sesión a través de SmartConsole con privilegios completos de administrador y modificar la política de seguridad o la configuración de seguridad», Rapid7 dicho.
La explotación exitosa requiere que un atacante tenga acceso de red al Servidor de administración y una configuración que no restrinja los Clientes confiables. Check Point ha revelado que tiene conocimiento de que un puñado de clientes han sido atacados por esta falla como de día cero.
El análisis Rapid7 de la vulnerabilidad ha descubierto que la causa principal es un «límite de confianza roto» en la ruta de autenticación de la aplicación que permite al actor de la amenaza iniciar sesión en un dispositivo vulnerable a través de SmartConsole con privilegios de administrador completos.
Específicamente, se ha descubierto que un servidor vulnerable acepta un nombre distinguido (DN) de comunicación interna segura (SIC) proporcionado por un atacante como la identidad de una aplicación remota en lugar de vincular esa identidad al DN del certificado de igual remoto autenticado devuelto por una función denominada «getCertificateDnName()».
Como resultado, un atacante puede leer el DN SIC del servidor de administración durante la comunicación de arranque no autenticada y autenticarse como una aplicación remota reproduciendo el DN de ese servidor de administración, obteniendo un token de inicio de sesión de la aplicación y luego generando un nuevo ticket de inicio de sesión único (SSO) de SmartConsole a través de la sesión de la aplicación falsificada.
El parche introducido por Check Point garantiza que los clientes remotos utilicen el DN del certificado de par remoto autenticado, lo que provoca que se rechace cualquier discrepancia entre el DN proporcionado y esa identidad autenticada. También agrega una nueva verificación de identidad vacía que impide un inicio de sesión remoto en la aplicación cuando no hay una identidad SIC autenticada.
«Para que el DN del servidor proporcionado sobreviva las comprobaciones parcheadas, el atacante necesitaría un certificado de cliente autenticado cuyo DN del sujeto ya coincida con el DN del servidor, lo que elimina la omisión no autenticada», dijo Stephen Fewer de Rapid7.
Rapid7 tiene liberado un script Python de prueba de concepto (PoC) que se puede utilizar para validar con éxito si un objetivo es vulnerable o está parcheado contra la falla.
Se recomienda a los clientes que apliquen las revisiones Jumbo publicadas por Check Point el 22 de julio de 2026 para solucionar la falla lo antes posible.
