CVE-2026-93616: kritische Sicherheitslücke in Check Point wird aktiv ausgenutzt

CVE-2026-93616: kritische Sicherheitslücke in Check Point wird aktiv ausgenutzt

In Kürze

CVE-2026-93616 ist eine kritische Sicherheitslücke (CVSS 9.8), die Check Point-Management-Server betrifft und es einem Angreifer ermöglicht, ohne Authentifizierung beliebige Dateien auf das System hochzuladen und auszuführen [1]. Sie ist als aktiv ausgenutzt bestätigt und ist im Katalog bekannter ausgenutzter Schwachstellen (KEV) der CISA aufgeführt [2]. Wenn Ihre Organisation Check Point zur Verwaltung der Perimeter-Sicherheit einsetzt, hat sofortiges Handeln Priorität: Zuerst muss identifiziert werden, welche Check Point-Management-Server exponiert sind, und anschließend das entsprechende Update des Herstellers ohne Verzögerung angewendet werden.

Was es ist und warum es wichtig ist

Die Sicherheitslücke ist vom Typ Path Traversal (Verzeichnisdurchlauf) in Kombination mit Datei-Upload. Einfach ausgedrückt: Ein externer Angreifer kann den Server dazu verleiten, ein Skript an einem Ort zu akzeptieren und auszuführen, an dem er dazu keine Berechtigung haben sollte, und das ohne gültige Zugangsdaten. Der betroffene Hersteller ist Check Point, und der Fehler konzentriert sich auf dessen Management-Server (Security Management Server) und den Log-Server (Log Server) [1].

Der zugewiesene CVSS-Wert beträgt 9,8 von 10, eingestuft als kritisch, und die Sicherheitslücke wurde am 22. September 2026 veröffentlicht [1]. Was die Dringlichkeit besonders erhöht, ist, dass es sich nicht um ein theoretisches Risiko handelt: Sie ist im KEV-Katalog der US-Behörde CISA aufgeführt, die ausschließlich Sicherheitslücken mit Nachweis aktiver Ausnutzung in der realen Welt hinzufügt [2]. Aus Sicht des Threat-Intelligence-Radars von OCIRIA bewerten wir diese Art von Fehlern als besonders sensibel, da der Management-Server kein gewöhnliches Asset ist: Er ist der Punkt, von dem aus die Firewall-Regeln und die Sicherheit des gesamten Perimeter-Netzwerks verwaltet werden, sodass seine Kompromittierung einem Angreifer eine weit überlegene Kontrollposition gegenüber der eines einzelnen Servers verschaffen kann [3].

Wer betroffen ist

Betroffen sind Organisationen, die Produkte von Check Point in ihrer Sicherheitsmanagement-Infrastruktur einsetzen [1]. Wenn Ihr Unternehmen mit Check Point arbeitet, um Firewalls, Gateways oder Netzwerksicherheitsrichtlinien zu verwalten, betrifft Sie dieser Hinweis direkt. Das tatsächliche Risikoniveau hängt davon ab, ob der Management-Server oder der Log-Server von außerhalb des Unternehmensnetzwerks erreichbar sind – etwas, das schnellstmöglich überprüft werden sollte.

Wie Sie feststellen, ob Sie betroffen sind

Der erste Schritt ist eine schnelle Bestandsaufnahme: Welche Check Point-Produkte hat Ihre Organisation im Einsatz und in welcher Version? Die Sicherheitslücke betrifft Check Point allgemein, gemäß den verfügbaren offiziellen Daten [1]. Im Zweifelsfall ist es daher ratsam, jeden Check Point-Management-Server als potenziell betroffen zu behandeln, bis das Gegenteil mit dem Hersteller bestätigt werden kann.

Prüfen Sie zweitens die exponierte Angriffsfläche: Kontrollieren Sie, ob das Administrationspanel, der Management-Server oder der Log-Dienst aus dem Internet oder aus schlecht kontrollierten Netzwerksegmenten erreichbar sind. Ein Management-Asset, das nicht exponiert sein sollte, es aber ist, erhöht das tatsächliche Risiko deutlich, selbst bevor die genaue Softwareversion bestätigt wird.

Überprüfen Sie schließlich aktuelle Protokolle und Dateien auf ungewöhnliche Datei-Uploads oder unbekannte Skripte in Pfaden des Management-Systems, insbesondere in den letzten Wochen seit Veröffentlichung der Sicherheitslücke [1].

Wie Sie sich schützen

1. Aktualisieren Sie sofort. Wenden Sie den Patch oder die korrigierte Version an, die Check Point für den Security Management Server und den Log Server veröffentlicht, gemäß dem offiziellen Verfahren des Herstellers.

2. Beschränken Sie den Management-Zugriff. Wenn der Management-Server aus nicht vertrauenswürdigen Netzwerken oder dem Internet erreichbar ist, beschränken Sie den Zugriff mittels Zugriffskontrolllisten oder VPN nur auf bekannte Administrations-IP-Adressen.

3. Überprüfen Sie aktuelle Dateien und Zugriffe. Suchen Sie nach nicht gerechtfertigten hochgeladenen Skripten oder Dateien in den Pfaden des Management-Servers und bewahren Sie die Protokolle für eine spätere Analyse auf, falls Sie etwas Anomales feststellen.

4. Überprüfen Sie Ihre tatsächliche Exposition. Da diese Sicherheitslücke ohne Authentifizierung ausgenutzt wird, ist die Überprüfung, welche Management-Dienste tatsächlich von außen sichtbar sind, ein Schritt, den keine Organisation, die Check Point einsetzt, auslassen sollte.

5. Priorisieren Sie dies gegenüber anderen Patch-Aufgaben. Da sie im KEV-Katalog gelistet ist, muss diese Sicherheitslücke mit höherer Dringlichkeit behandelt werden als ein routinemäßiges Patchen [2].

Häufig gestellte Fragen

Muss ich authentifiziert sein, damit ich betroffen bin? Nein. Die offizielle Beschreibung gibt an, dass ein nicht authentifizierter Angreifer die Sicherheitslücke ausnutzen kann [1].

Wird sie wirklich ausgenutzt oder ist es ein potenzielles Risiko? Es gibt Nachweise für aktive Ausnutzung, daher die Aufnahme in den KEV-Katalog der CISA [2].

Betrifft sie nur eine bestimmte Version von Check Point? Die verfügbaren offiziellen Daten identifizieren Check Point als betroffenen Hersteller, ohne weitere Details zu einer spezifischen Version in diesem Eintrag; wir empfehlen, direkt beim Hersteller zu bestätigen, welche genauen Versionen aktualisiert werden müssen.

Was soll ich tun, wenn ich nicht weiß, ob meine Infrastruktur exponiert ist? Die Überprüfung der exponierten Angriffsfläche Ihrer Management-Systeme ist der schnellste Schritt, um Klarheit zu gewinnen, bevor Sie weitere Maßnahmen entscheiden.

Quellen

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-93616
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json