Check Point ha rilasciato in emergenza una serie di hotfix per una vulnerabilità zero-day nella console di gestione SmartConsole, già sfruttata in attacchi reali prima che la correzione fosse disponibile. La falla, identificata come CVE-2026-16232, permette a un attaccante remoto e non autenticato di ottenere pieno accesso amministrativo ai server di gestione della sicurezza. La CISA l'ha inserita nel catalogo delle vulnerabilità sfruttate attivamente (KEV) il 22 luglio, imponendo alle agenzie federali statunitensi una scadenza ravvicinatissima: il 25 luglio.

La vulnerabilità

Il difetto è una authentication bypass (CWE-287, autenticazione impropria) nel processo di login di SmartConsole basato su application token. In pratica, un attaccante che riesce a raggiungere via rete l'indirizzo IP del management server può ottenere un token di login applicativo senza credenziali e usarlo per autenticarsi con privilegi di amministratore completi su Check Point Security Management e Multi-Domain Management. Il punteggio CVSS è di 9,1 secondo l'advisory ufficiale (alcune fonti riportano 9,3): in ogni caso, fascia critica.

Le condizioni per lo sfruttamento remoto sono due: il management server deve essere raggiungibile da internet e la funzione Trusted Clients — che limita gli indirizzi IP autorizzati a collegarsi alla console — non deve avere restrizioni configurate. È esattamente la combinazione che Check Point ha osservato negli attacchi reali, che secondo il vendor hanno colpito «un numero limitato di clienti» con interfacce di gestione esposte direttamente in rete.

Le correzioni sono arrivate il 22 luglio con i Jumbo Hotfix Accumulator: per R82.10 a partire dal Take 36, oltre ai take equivalenti per R82 e le altre versioni supportate elencate nell'advisory sk185169. Lo stesso aggiornamento corregge anche altre due vulnerabilità (CVE-2026-62144 e CVE-2026-62145).

Perché il piano di gestione è il bersaglio perfetto

Compromettere un firewall è grave; compromettere il server che gestisce tutti i firewall è molto peggio. Chi ottiene accesso amministrativo al Security Management può riscrivere le policy di sicurezza dell'intera infrastruttura: aprire porte, disattivare ispezioni, creare regole di passaggio invisibili, esfiltrare la configurazione completa della rete. E nel caso del Multi-Domain Management — la versione usata da provider di servizi gestiti per amministrare i firewall di decine di clienti — l'effetto si moltiplica: un solo accesso abusivo può tradursi in una compromissione a catena di più organizzazioni.

Non è la prima volta quest'anno che i prodotti Check Point finiscono sotto tiro: a giugno una falla zero-day nei gateway VPN era stata sfruttata dal gruppo ransomware Qilin, come avevamo raccontato in questo articolo. Il pattern è chiaro e non riguarda solo Check Point: i dispositivi di sicurezza perimetrale sono diventati uno dei bersagli preferiti degli attaccanti, perché stanno per definizione al confine della rete e godono di ampia fiducia implicita.

Cosa significa per le aziende italiane

Check Point ha una presenza storica e capillare nel mercato italiano: banche, assicurazioni, pubblica amministrazione e manifatturiero usano le sue soluzioni di gestione centralizzata, spesso tramite MSSP italiani che amministrano più clienti proprio con Multi-Domain Management. Per questi ultimi la falla è particolarmente delicata: la compromissione della console di un fornitore di servizi gestiti è a tutti gli effetti un attacco alla supply chain dei suoi clienti.

C'è poi un problema culturale: l'esposizione su internet delle interfacce di gestione è più diffusa di quanto si pensi, spesso per comodità operativa (amministrazione da remoto, interventi fuori orario). Questa vicenda dimostra che il piano di gestione non deve mai essere raggiungibile dalla rete pubblica, nemmeno «temporaneamente».

Sul fronte normativo, per i soggetti essenziali e importanti sotto NIS2 una compromissione del sistema che governa le difese perimetrali costituisce con ogni probabilità un incidente significativo: scattano la pre-notifica ad ACN/CSIRT Italia entro 24 ore e la notifica entro 72 ore. Per il settore finanziario si aggiungono gli obblighi di segnalazione previsti da DORA, e se dall'accesso abusivo deriva una violazione di dati personali entra in gioco anche la notifica al Garante ai sensi del GDPR.

Cosa fare subito

  • Installare i Jumbo Hotfix del 22 luglio (per R82.10: Take 36 o successivi; per le altre versioni, fare riferimento all'advisory sk185169).
  • Configurare Trusted Clients limitando l'accesso alla console ai soli indirizzi IP delle postazioni di amministrazione.
  • Rimuovere qualsiasi esposizione su internet del management server: l'accesso remoto deve passare da VPN dedicata o bastion host.
  • Cercare indicatori di compromissione: accessi amministrativi anomali, token applicativi emessi in orari insoliti, modifiche alle policy non riconducibili a change autorizzati.
  • Portare i log di SmartConsole e del management server nel SIEM, con alert su login e modifiche di policy.
  • In caso di sospetta compromissione, avviare l'incident response e valutare gli obblighi di notifica verso ACN/CSIRT Italia e, se ci sono dati personali coinvolti, verso il Garante.

Una console di gestione è il mazzo di chiavi dell'intera rete: va custodita come tale.