CVE-2026-93616: vulnerabilità critica in Check Point attivamente sfruttata

CVE-2026-93616: vulnerabilità critica in Check Point attivamente sfruttata

In breve

CVE-2026-93616 è una vulnerabilità critica (CVSS 9.8) che colpisce i server di gestione di Check Point e consente a un attaccante, senza bisogno di autenticarsi, di caricare ed eseguire file arbitrari sul sistema [1]. È confermata come attivamente sfruttata e figura nel catalogo delle vulnerabilità sfruttate conosciute di CISA (KEV) [2]. Se la tua organizzazione utilizza Check Point per gestire la sicurezza perimetrale, agire oggi è prioritario: la prima cosa da fare è identificare quali server di gestione Check Point hai esposti e applicare senza ritardi l'aggiornamento corrispondente del fornitore.

Che cos'è e perché è importante

La vulnerabilità è di tipo path traversal (attraversamento di directory) combinata con il caricamento di file. In termini semplici: un attaccante esterno può ingannare il server affinché accetti ed esegua uno script in una posizione in cui non dovrebbe avere i permessi, senza bisogno di credenziali valide. Il fornitore interessato è Check Point e il problema si concentra nel suo server di gestione (Security Management Server) e nel server dei log (Log Server) [1].

Il CVSS assegnato è 9.8 su 10, classificato come critico, e la vulnerabilità è stata pubblicata il 22 settembre 2026 [1]. Ciò che innalza particolarmente il livello di urgenza è che non si tratta di un rischio teorico: è inclusa nel catalogo KEV dell'agenzia statunitense CISA, che aggiunge esclusivamente vulnerabilità con evidenza di exploitation attiva nel mondo reale [2]. Dal radar di intelligence di OCIRIA valutiamo questo tipo di falle come particolarmente sensibili perché il server di gestione non è un asset qualsiasi: è il punto da cui si amministrano le regole del firewall e la sicurezza di tutta la rete perimetrale, motivo per cui la sua compromissione può dare a un attaccante una posizione di controllo molto superiore a quella di un singolo server [3].

Chi è coinvolto

Riguarda le organizzazioni che utilizzano prodotti Check Point nella propria infrastruttura di gestione della sicurezza [1]. Se la tua azienda lavora con Check Point per amministrare firewall, gateway o policy di sicurezza di rete, questo avviso ti riguarda direttamente. Il livello di esposizione reale dipende dal fatto che il server di gestione o il Log Server siano accessibili dall'esterno della rete aziendale, cosa che conviene verificare quanto prima.

Come sapere se sei vulnerabile

Il primo passo è un inventario rapido: quali prodotti Check Point ha implementato la tua organizzazione e in quale versione? La vulnerabilità colpisce Check Point in generale secondo i dati ufficiali disponibili [1], quindi, in caso di dubbio, è prudente trattare qualsiasi server di gestione Check Point come potenzialmente interessato finché non si conferma il contrario con il fornitore.

In secondo luogo, verifica la superficie esposta: controlla se il pannello di amministrazione, il server di gestione o il servizio di log sono raggiungibili da internet o da segmenti di rete poco controllati. Un asset di gestione che non dovrebbe essere esposto e invece lo è aumenta notevolmente il rischio reale, anche prima di confermare la versione esatta del software.

Infine, controlla i log e i file recenti alla ricerca di caricamenti di file inusuali o script non riconosciuti in percorsi del sistema di gestione, specialmente nelle ultime settimane dalla pubblicazione della vulnerabilità [1].

Come proteggerti

1. Aggiorna immediatamente. Applica la patch o la versione corretta pubblicata da Check Point per il Security Management Server e il Log Server, seguendo la procedura ufficiale del fornitore.

2. Limita l'accesso di gestione. Se il server di gestione è accessibile da reti non attendibili o da internet, limita l'accesso solo a indirizzi IP di amministrazione conosciuti tramite liste di controllo o VPN.

3. Controlla file e accessi recenti. Cerca script o file caricati senza giustificazione nei percorsi del server di gestione, e conserva i log per un'analisi successiva se rilevi qualcosa di anomalo.

4. Verifica la tua esposizione reale. Dato che questa vulnerabilità viene sfruttata senza autenticazione, verificare quali servizi di gestione sono realmente visibili dall'esterno è un passo che nessuna organizzazione che utilizza Check Point dovrebbe saltare.

5. Dai priorità rispetto ad altre attività di patching. Essendo inclusa nel catalogo KEV, questa vulnerabilità deve essere trattata con maggiore urgenza rispetto a un patching di routine [2].

Domande frequenti

Devo essere autenticato per essere colpito? No. La descrizione ufficiale indica che un attaccante non autenticato può sfruttare la vulnerabilità [1].

Viene davvero sfruttata o è un rischio potenziale? Ci sono evidenze di exploitation attiva, da cui la sua inclusione nel catalogo KEV di CISA [2].

Colpisce solo una versione specifica di Check Point? I dati ufficiali disponibili identificano Check Point come vendor interessato senza ulteriori dettagli sulla versione specifica in questa scheda; raccomandiamo di confermare direttamente con il fornitore quali versioni esatte richiedono l'aggiornamento.

Cosa devo fare se non so se la mia infrastruttura è esposta? Verificare la superficie esposta dei tuoi sistemi di gestione è il passo più rapido per uscire dal dubbio prima di decidere le prossime azioni.

Fonti

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-93616
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json