Check Point patcha quinta falla critica nel management plane in tre mesi

Check Point ha rilasciato il 16 settembre 2026 una correzione per CVE-2026-91843, una vulnerabilità critica con punteggio CVSS 9.8 che interessa i Security Management Server e i Log Server. Si tratta del quinto difetto senza autenticazione nel management plane dell'azienda israeliano dal luglio 2026, a conferma di un pattern sistematico che espone il cuore amministrativo dei firewall enterprise a compromissione totale.

Il meccanismo: overflow di stack nel login, non autenticazione, root

Il difetto risiede nel processo di login non autenticato dei server di gestione Check Point. Secondo quanto documentato da Censys e riportato da The Hacker News, l'overflow di stack è innescato da una richiesta di login che trasporta un username di lunghezza eccezionale. La falla consente l'esecuzione remota di codice arbitrario con privilegi root, il livello più elevato nel sistema operativo sottostante.

Il percorso vulnerabile non è direttamente esposto a Internet. Aviv Abramovich, VP product management network security di Check Point, ha precisato che il percorso di attacco attraversa esclusivamente l'impostazione Trusted Clients, che controlla quali host possono connettersi al server di gestione tramite SmartConsole. Questa configurazione, quando ampliata o gestita in modo permissivo, espande la superficie di attacco ben oltre i confini previsti dall'architettura zero-trust del vendor.

Il record CVE ufficiale conferma il punteggio CVSS 9.8 con vettore CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H. La rete è il vettore di accesso, la complessità dell'attacco è bassa, non sono richiesti privilegi né interazione utente, e l'impatto tocca integrità, riservatezza e disponibilità con severità alta su tutti e tre i pilastri.

"At this time, there is no indication that this vulnerability has been exploited in the wild" — Check Point, via The Hacker News

Versioni affette e copertura del fix: il nodo R82.20

L'advisory vendor primario sk1000155 e il record CVE.org delineano un perimetro di versioni affette esteso: R82.10 con Jumbo Hotfix Take 44 o inferiore, R82 con Take 126 o inferiore, R81.20 con Take 166 o inferiore, R81.10 (End-of-Support) con Take 190 o inferiore, e le serie R80.x-R81 (EOS). Smart-1 Cloud, il servizio gestito di Check Point, non è interessato perché il fix è già implementato nell'infrastruttura cloud.

Un'eccezione significativa riguarda R82.20: la branch non è elencata nel record CVE, ma Abramovich ha confermato che ogni build di R82.20 è vulnerabile e nessun Jumbo Hotfix la protegge al momento. Check Point ha reso disponibile il fix tramite LivePatch anche per le versioni fuori supporto, con la raccomandazione di aprire un ticket con il supporto tecnico per l'attivazione manuale.

La modalità di distribuzione via LivePatch, senza richiedere riavvio o finestra di manutenzione programmata, riduce la latenza di protezione ma introduce una dipendenza critica dalla configurazione degli aggiornamenti automatici. I clienti che hanno disabilitato il LivePatch o che operano in ambienti air-gapped rimangono esposti fino all'intervento manuale.

Cinque falle in tre mesi: il pattern del management plane

CVE-2026-91843 è la quinta vulnerabilità critica raggiungibile senza autenticazione sui Security Management Server Check Point dal 22 luglio 2026. Questa frequenza, concentrata in meno di due mesi solari, solleva interrogativi sulla robustezza del code base che gestisce il piano di controllo dei firewall enterprise più diffusi a livello globale.

Il management plane è l'Achille's heel strutturale delle infrastrutture di sicurezza: quando compromesso, trasforma gli strumenti di difesa in vettori di attacco. Un attore che ottiene RCE come root su un Security Management Server ottiene effettivamente il controllo delle policy di tutti i firewall gestiti, con capacità di alterare regole, esfiltrare log, o innestare accessi persistenti nell'infrastruttura protetta.

Il pattern ricorrente non implica necessariamente una regressione qualitativa del processo di secure development lifecycle, ma documenta una superficie di attacco storicamente sottovalutata. Le interfacce amministrative, spesso progettate per funzionalità e retrocompatibilità, accumulano debito tecnico che emerge in modo concentrato quando il contesto di minaccia si intensifica.

Kaspersky e Tanium: patch parallele senza dettagli granulari

Nella stessa finestra temporale, Kaspersky e Tanium hanno pubblicato advisory per vulnerabilità nei propri prodotti. Tanium ha rilasciato cinque nuovi advisory con difetti di severità high e medium, inclusi due SQL injection di alta gravità nel modulo Asset e nel modulo Threat Response. I testi estratti dalle fonti non contengono identificatori CVE o punteggi CVSS specifici per queste vulnerabilità.

Kaspersky ha pubblicato un advisory il 17 settembre 2026 per Kaspersky Security 10 for Linux Mail Server, relativo a una vulnerabilità Redis scoperta nel 2023 che può causare malfunzionamento o esecuzione di codice. Anche in questo caso, il testo estratto non riporta un CVE specifico associato alla patch.

La mancanza di dettagli tecnici granulari per Tanium e Kaspersky impedisce una valutazione comparativa del rischio e limita la capacità di prioritizzazione per i team di sicurezza che gestiscono portfolio multi-vendor. Questa opacità, pur non essendo anomala nel ciclo di disclosure iniziale, costituisce un attrito operativo per le organizzazioni enterprise.

Cosa fare adesso

• Verificare l'attivazione del LivePatch sui Security Management Server e Log Server Check Point, con particolare attenzione alle versioni R82.20 e alle installazioni EOS che richiedono ticket di supporto per il fix.
• Rivedere la configurazione Trusted Clients per ristrettare il perimetro degli host autorizzati a connettersi via SmartConsole, eliminando autorizzazioni obsolete o eccessivamente ampie.
• Monitorare le fonti vendor ufficiali di Tanium e Kaspersky per l'eventuale pubblicazione di CVE e CVSS che consentano la prioritizzazione delle patch nei cicli di change management.
• Valutare la segmentazione di rete del management plane Check Point, isolando i server di gestione da segmenti con accesso utente generale e limitando le sessioni amministrative a jump server controllati.

Il management plane come superficie di attacco strategica

La concentrazione di cinque vulnerabilità critiche senza autenticazione in un singolo componente architetturale non è un incidente statistico: riflette la centralità del management plane come obiettivo di alto valore per attori di minaccia sofisticati. La compromissione di questo strato non viola semplicemente un endpoint, ma sovverte l'intera logica di difesa perimetrale.

Check Point ha dimostrato reattività nella distribuzione del fix, ma la reattività non sostituisce la riduzione della superficie di attacco originaria. La domanda che i CISO dovrebbero porsi non è quanto velocemente un vendor patcha, ma quanto del loro piano di controllo è esposto a fallimenti singoli che concedono root senza autenticazione.

L'ecosistema di sicurezza enterprise si trova in una condizione di supply chain inversa: i prodotti acquistati per ridurre il rischio diventano, attraverso vulnerabilità come CVE-2026-91843, i canali privilegiati per la sua realizzazione. La misura della maturità cyber di un'organizzazione sta sempre più nella capacità di proteggere i propri protettori.

Fonti

• https://www.securityweek.com/check-point-kaspersky-tanium-patch-product-vulnerabilities/
• https://thehackernews.com/2026/09/critical-check-point-management-server.html
• https://support.checkpoint.com/security-advisories
• https://blog.checkpoint.com/security/check-point-releases-important-hotfix-for-vulnerabilities-in-deprecated-ikev1-vpn-protocol/
• https://nvd.nist.gov/vuln/detail/CVE-2026-50751
• https://www.cve.org/CVERecord?id=CVE-2026-91843
• https://nvd.nist.gov/vuln
• https://support.checkpoint.com/results/sk/sk1000155
• https://security.tanium.com/
• https://support.kaspersky.com/vulnerability/list-of-advisories/12430#170926

Le informazioni sono state verificate sulle fonti citate e aggiornate al momento della pubblicazione.

Fonti