概要
Check Pointは、管理コンソール「SmartConsole」のログイン処理に存在する認証バイパスの脆弱性CVE-2026-16232(ベンダー評価CVSS 9.3、CISA評価9.1)を修正した。未認証の遠隔攻撃者がアプリケーションログイントークンを不正に取得し、管理サーバーに管理者権限で認証できてしまう欠陥で、Check PointのVP of Researchは「詳細な分析の結果、少数の顧客を標的とした実際の悪用事例を1件確認した」と説明しており、該当する顧客にはすでに通知済みだという。攻撃が成立するには、GUIクライアント(Trusted Clients)へのアクセス制限がなく、かつ管理サーバーのIPアドレスがインターネットに直接公開されているという2つの条件が必要となる。米CISAは2026年7月22日に本脆弱性を既知悪用脆弱性(KEV)カタログへ追加し、Binding Operational Directive 26-04に基づき米連邦機関に7月25日までという異例の短い期限でのパッチ適用を義務付けた。
技術的な詳細
CVE-2026-16232はCWE-287(不適切な認証)に分類され、SmartConsoleのログインフローの欠陥を突いてアプリケーションログイントークンを窃取することで、Security Management ServerやMulti-Domain Security Management Serverに管理者権限で認証できてしまう。侵害が成立すると、セキュリティポリシーや管理者権限、VPN構成、ロギング・監視設定の改ざんが可能になるとされ、信頼階層の頂点に位置する管理サーバーが乗っ取られることの深刻さが強調されている。
なお同時期には、管理者コマンド(run-script、exec-commandなど)の実行を許してしまうSecurity Management/Multi-Domain Security Management向けの認証バイパスCVE-2026-62144(CVSS 9.3)、Gaia Portalにおける権限管理の不備により読み取り専用権限からroot権限のコマンド実行が可能になるCVE-2026-62145(CVSS 7.5)も報告されている。影響を受けるバージョンはR77.30からR82.10までと幅広く、Check Pointは2026年7月22日付でこれら3件すべてに対応するJumbo Hotfixをリリースした。修正状況はバージョンごとに異なり、R82.10はJumbo Hotfix Take 36以降、R82はTake 118以降、R81.20はTake 158以降で修正済みだが、R81.10、R81、R80.30、R80.20、R80.10、R80、R77.30については本稿執筆時点で修正が未定となっている。
対応策と検出方法
Check Pointはただちにパッチを適用できない管理者向けに、Trusted Clients(GUIクライアント)を承認済みのIPアドレスやサブネットに制限すること、ファイアウォールで管理アクセスを保護すること、制御接続の暗黙的ルールが有効になっているかを確認することを推奨している。Smart-1 Cloudの顧客についてはすでに保護済みとされる。ただしセキュリティ企業Rapid7は、これらの緩和策は「根本的な脆弱性そのものには対応しない」と指摘しており、Jumbo Hotfixの適用を最優先とするよう強く呼びかけている。
侵害の検出方法としては、監査ログで認証方式が「application token」となっているエントリを検索し、公開された不審なIPアドレス(151.241.99[.]207、151.241.99[.]233、158.62.198[.]182など計6件)との照合が有効とされている。
背景と今後の展望
Check Pointは過去2年間にも複数の野生悪用(in-the-wild)脆弱性への対応を迫られており、今回の脆弱性も社内レビューの過程で発見されたものだという。ファイアウォールやVPN機器といったネットワーク境界に位置する管理製品は、攻撃者にとって侵入後の被害を最大化できる格好の標的であり続けており、CISAが異例の短期限でパッチ適用を義務付けたことからも、この脆弱性の深刻度と悪用の切迫性がうかがえる。管理コンソールをインターネットに直接公開している組織は、パッチ適用と並行して速やかにアクセス制限を見直すことが求められる。