CVE-2026-16232 es un bypass de autenticación en el proceso de login de Check Point SmartConsole que puede permitir a un atacante remoto no autenticado obtener un token de aplicación y entrar con privilegios completos de administrador. Check Point lo confirmó como explotación activa en un número reducido de clientes, y la vulnerabilidad está priorizada por CISA en su catálogo KEV.

Qué afecta

Afecta a Security Management Server y Multi-Domain Security Management Server (MDS), con versiones impactadas que incluyen R77.30, R80, R80.10, R80.20, R80.30, R80.40, R81, R81.10, R81.20, R82 y R82.10. El exploit remoto requiere acceso a la IP del Management Server y que no haya restricciones de Trusted Clients para GUI.

Impacto técnico

El impacto es alto porque el atacante puede entrar como admin y modificar políticas de seguridad, configuración y control del entorno de gestión. Check Point lo describe como “authentication bypass with SmartConsole login process using application token”, y la guía pública lo clasifica como una vulnerabilidad crítica o de severidad alta según la fuente consultada.

Corrección y mitigación

El problema quedó corregido en los Jumbo Hotfix Accumulators para R82.10 desde Take 36, R82 desde Take 118 y R81.20 desde Take 158. Mientras se aplica el parche, Check Point recomienda limitar Trusted Clients a IPs/subredes de confianza, proteger el acceso al Management con firewall y verificar que las reglas implícitas de control connections estén habilitadas.

Detección de compromiso

Para buscar indicios de abuso, Check Point indica revisar eventos con ciertas IPs de atacante y también buscar en Audit Logs View la cadena “Authentication method: application token”. Las IPs de referencia publicadas por Check Point son 151.241.99.207, 151.241.99.233, 158.62.198.182, 192.142.10.99 y 139.28.37.250.

Recomendación práctica

Si administras un entorno Check Point, esta vulnerabilidad merece tratamiento de emergencia: parcheo inmediato, restricción de acceso al management, y revisión de logs de auditoría y eventos. Si quieres, puedo prepararte un checklist de verificación y hardening específico para SmartConsole/MDS en formato operativo.

Guía de Verificación y Remediación — CVE-2026-16232

Check Point SmartConsole: Bypass de Autenticación mediante Application Token

Campo	Valor
CVE	CVE-2026-16232
CVSS v3.1	9.3 (Crítico)
CWE	CWE-287 (Improper Authentication)
Advisory	sk185169
Estado	Explotación activa confirmada en el wild
CISA KEV	Añadido el 2026-07-22 — fecha límite de remediación: 2026-07-25
Fecha publicación fix	22 de julio de 2026

---

1. Descripción de la Vulnerabilidad

Un atacante remoto no autenticado puede obtener un application login token del Security Management Server o Multi-Domain Security Management Server (MDS) y utilizarlo para iniciar sesión en SmartConsole con privilegios administrativos completos. Una vez dentro, puede modificar políticas de seguridad, alterar configuraciones de Gateways y comprometer toda la infraestructura gestionada (Check Point sk185169, Check Point Blog).

Condiciones de explotación

La explotación remota exitosa requiere ambas condiciones:

1. Acceso por internet a la dirección IP del Management Server (o MDS).
2. Sin restricciones en Trusted Clients (GUI clients), es decir, configurado como Any (sk185169).

Productos y versiones afectadas

Productos	Versiones afectadas
Security Management Server	R77.30, R80, R80.10, R80.20, R80.30, R81, R81.10, R81.20, R82, R82.10
Multi-Domain Security Management Server (MDS)	R77.30, R80, R80.10, R80.20, R80.30, R81, R81.10, R81.20, R82, R82.10

Las versiones marcadas como EOS (End of Support) — R77.30, R80.x, R81, R81.10 — aparecen en la lista de versiones afectadas pero no figuran en la tabla de fixes de sk185169. Para estos entornos debe abrirse un caso con Check Point Support y planificar un upgrade urgente a una versión soportada.

---

2. Identificación de Versión Vulnerable

2.1 Verificar la versión instalada (Gaia Clish)

Conéctese por SSH al Management Server o MDS y ejecute:

# Desde Gaia Clish:
show version all

Salida esperada (ejemplo R82):

Product version       Check Point Gaia R82
OS build              123
OS kernel version     456
OS edition            64-bit

Comando alternativo en Expert mode:

# Desde Expert mode:
ver
# o
cpstat sg

En entornos MDS, para listar todas las versiones de los CMAs:

$MDSVERUTIL AllCMAs

2.2 Verificar el Take del Jumbo Hotfix Accumulator instalado

# Desde Gaia Clish:
show installer packages installed

Comando alternativo en Expert mode:

cpstat fw | grep -i "hotfix"
# o
cpprod_util CPPROD_GetValue CPnix-OS-BuildNumber 1

2.3 Tabla de decisiones de vulnerabilidad

Versión instalada	Take mínimo con fix	¿Vulnerable?
R82.10	< Take 36	Sí — aplicar Take 36+
R82	< Take 118	Sí — aplicar Take 118+
R81.20	< Take 158	Sí — aplicar Take 158+
R81.10	EOS — sin fix listado	Sí — planificar upgrade + mitigación inmediata
R81	EOS — sin fix listado	Sí — planificar upgrade + mitigación inmediata
R80.40 y anteriores	EOS — sin fix listado	Sí — planificar upgrade + mitigación inmediata
R77.30	EOS — sin fix listado	Sí — planificar upgrade + mitigación inmediata

Referencia: Los Take mínimos con fix provienen directamente de sk185169 y las release notes del Jumbo Hotfix R82 Take 118.

---

3. Verificación de Exposición (Internet + Trusted Clients)

3.1 Verificar si el Management Server tiene acceso directo a internet

Test de conectividad desde el exterior hacia los puertos de gestión:

Los puertos clave de SmartConsole y Gaia Portal son:

Servicio	Puerto
Gaia Portal (WebUI)	TCP 443
SmartConsole (login management)	TCP 19009
SmartConsole (HTTP fallback)	TCP 4434

Desde una máquina externa (fuera de la red corporativa), ejecute:

# Test de reachability al Management Server
nc -zv <IP_MANAGEMENT_SERVER> 443
nc -zv <IP_MANAGEMENT_SERVER> 19009
nc -zv <IP_MANAGEMENT_SERVER> 4434

# Alternativa con curl al Gaia Portal
curl -k -s -o /dev/null -w "%{http_code}" https://<IP_MANAGEMENT_SERVER>/

Si alguno de estos tests tiene éxito desde internet, el Management Server está expuesto y debe considerarse en riesgo crítico.

Importante: La explotación solo requiere reachabilidad de red al Management Server. No es necesario que el Gaia Portal esté habilitado; el puerto 19009 (SmartConsole) es suficiente.

3.2 Verificar la configuración de Trusted Clients

Vía SmartConsole (procedimiento oficial):

1. Abrir SmartConsole y conectarse al Management Server.
2. Ir a Manage & Settings > Permissions & Administrators > Trusted Clients.
3. Revisar cada entrada de la lista.
4. Si existe una entrada con Type = Any, el servidor es vulnerable a explotación remota.

Vía CLI (verificación de apoyo — el método oficial es GUI):

# Listar la configuración de Trusted Clients desde Expert mode:
# El archivo de configuración de management API puede consultarse con:
mgmt_cli show trusted-clients --format json

Nota: La disponibilidad del comando mgmt_cli show trusted-clients depende de la versión. En versiones antiguas, la única vía fiable es la GUI de SmartConsole.

3.3 Criterio de exposición

Condición	Estado
Management Server reachable desde internet Y Trusted Clients = Any	CRÍTICO — Explotación posible
Management Server reachable desde internet Y Trusted Clients restringido	Riesgo reducido — mitigar y parchear
Management Server no reachable desde internet	Riesgo significativamente menor — parchear igualmente
Trusted Clients = Any (sin importar reachability)	Configuración insegura — corregir inmediatamente

---

4. Procedimiento de Mitigación Inmediata (antes del parche)

Si no puede aplicar el Jumbo Hotfix de inmediato, ejecute estas mitigaciones en orden de prioridad (sk185169, Check Point Blog):

4.1 Restringir Trusted Clients

1. En SmartConsole: Manage & Settings > Permissions & Administrators > Trusted Clients.
2. Hacer doble-clic en cada cliente.
3. Cambiar el Type de Any a direcciones IP/subredes específicas de confianza.
4. Asegurarse de que ninguna entrada use Any como Type.
5. Clic en OK y instalar política.

4.2 Proteger el acceso de gestión con Firewall

1. Verificar que las implied rules para control connections estén habilitadas.
2. Añadir reglas de firewall explícitas que limiten el acceso al Management Server a IP/subredes de administración.
3. Si el Management Server está expuesto a internet, moverlo detrás de un VPN o firewall perimetral inmediatamente.

4.3 Seguir el Check Point Hardening Best Practices Guide

Aplicar las recomendaciones de Check Point Hardening Best Practices.

Estas mitigaciones bloquean el vector de explotación documentado pero no corrigen la vulnerabilidad subyacente. Deben aplicarse en conjunto con el parche, no como sustituto.

---

5. Procedimiento de Aplicación del Parche (sk185169)

5.1 Pre-requisitos

• Tener una Software Subscription o Active Support plan vigente.
• Verificar que el CPUSE Deployment Agent esté en la versión recomendada (sk92449).
• Realizar un backup completo del Management Server antes de aplicar el hotfix.
• Programar una ventana de mantenimiento (el hotfix requiere cpstop/reboot).

5.2 Tabla de Take mínimos

Versión	Jumbo Hotfix Take mínimo	Fecha de disponibilidad
R82.10	Take 36	22 julio 2026
R82	Take 118	22 julio 2026
R81.20	Take 158	22 julio 2026

5.3 Identificadores CPUSE Online

Utilizar el siguiente formato como identificador en CPUSE o SmartConsole Central Deployment:

Versión	Identificador CPUSE
R82.10	Check_Point_R82_10_jumbo_hf_main_Bundle_T36_FULL.tgz
R82	Check_Point_R82_jumbo_hf_main_Bundle_T118_FULL.tgz
R81.20	Check_Point_R81_20_jumbo_hf_main_Bundle_T158_FULL.tgz

5.4 Instalación Online vía Gaia Portal

1. Conectarse al Gaia Portal del Management Server.
2. Navegar a Upgrades (CPUSE) > Status and Actions.
3. En la lista de paquetes disponibles, localizar el Jumbo Hotfix correspondiente a su versión.
4. Si no aparece, hacer clic en Update para refrescar la lista desde Check Point Cloud.
5. Seleccionar el paquete del Jumbo Hotfix con el Take mínimo requerido.
6. Clic en Verify — esperar a que la verificación complete sin errores.
7. Clic en Install Update.
8. El servidor ejecutará cpstop, aplicará el hotfix y rebootará automáticamente.

5.5 Instalación Online vía Gaia Clish (CLI)

# 1. Conectarse por SSH al Management Server
# 2. Si está en Expert mode, cambiar a Clish:
clish

# 3. Obtener el lock sobre la base de datos de Gaia:
HostName:0> lock database override

# 4. Verificar que el CPUSE Agent tiene conexión a Check Point Cloud:
HostName:0> show installer status

# 5. Listar paquetes disponibles desde la nube:
HostName:0> show installer packages available

# 6. Verificar que el paquete puede instalarse sin conflictos:
HostName:0> installer verify <Package_Number>

# 7. Instalar el paquete:
HostName:0> installer install <Package_Number>

# El servidor se detendrá (cpstop), aplicará el hotfix y rebootará.

5.6 Instalación Offline (sin acceso a internet)

Si el Management Server no tiene conexión a Check Point Cloud:

1. Descargar el paquete offline desde el portal de descargas de Check Point (requiere cuenta con support activo).
2. Transferir el paquete (archivo .TGZ o .TAR) al Management Server vía SCP/SFTP:

# Desde la máquina con el paquete:
scp Check_Point_R82_jumbo_hf_main_Bundle_T118_FULL.tgz admin@<IP_MGMT_SERVER>:/var/log/

1. Importar e instalar desde Gaia Clish:

# Conectarse por SSH y entrar a Clish:
clish

# Obtener el lock:
HostName:0> lock database override

# Importar el paquete desde el disco local:
HostName:0> installer import local /var/log/Check_Point_R82_jumbo_hf_main_Bundle_T118_FULL.tgz

# Verificar que el paquete fue importado:
HostName:0> show installer packages imported

# Verificar que puede instalarse sin conflictos:
HostName:0> installer verify <Package_Number>

# Instalar:
HostName:0> installer install <Package_Number>

# El servidor rebootará automáticamente.

1. Para entornos MDS (Multi-Domain): repetir el procedimiento en cada CMA y en el MDS primario. Si hay MDS redundante, aplicar primero en el standby.

5.7 Verificación post-instalación

# Verificar que el hotfix quedó instalado:
clish -c "show installer packages installed"
# Debe mostrar el Jumbo Hotfix con el Take >= el mínimo requerido

# Verificar servicios de Check Point:
cpstat mg
cpstat fw

# Verificar que SmartConsole puede conectar:
# Abrir SmartConsole y conectarse al Management Server

---

6. Auditoría de Logs: Detección de Explotación

6.1 Indicadores de Compromiso (IoCs)

Direcciones IP de atacantes observadas (sk185169, Check Point Blog):

IoC	Tipo
151.241.99.207	IP atacante
151.241.99.233	IP atacante
158.62.198.182	IP atacante
192.142.10.99	IP atacante
139.28.37.250	IP atacante
194.213.18.137	IP atacante (adicional del blog)

6.2 Búsqueda en SmartConsole — Query de IPs atacantes

En SmartConsole: Logs & Monitor > Logs & Events y ejecutar la siguiente query:

(src:151.241.99.207 OR dst:151.241.99.207 OR src:151.241.99.233 OR dst:151.241.99.233 OR src:158.62.198.182 OR dst:158.62.198.182 OR src:192.142.10.99 OR dst:192.142.10.99 OR src:139.28.37.250 OR dst:139.28.37.250)

Si se obtienen resultados, existe evidencia de contacto con IPs maliciosas. Investigue cada evento y determine si hubo login exitoso.

6.3 Búsqueda en SmartConsole — Autenticación por Application Token

En SmartConsole: Logs & Monitor > Logs & Events > Audit Logs View y buscar:

Authentication method: application token

Esta query muestra todos los intentos de login mediante application tokens. Revise cada evento verificando:

• ¿La IP origen es legítima (IP de administrador conocido)?
• ¿El timestamp coincide con actividad administrativa planificada?
• ¿El usuario y el dominio son esperados?

6.4 Exportación de Logs para Análisis Offline (CLI)

Para extraer logs de auditoría y analizarlos fuera de SmartConsole:

# Listar los archivos de log disponibles:
fw lslogs

# Exportar un log a formato CSV para análisis:
fw logexport -n -m -i <NOMBRE_LOG> -o /var/log/audit_export.csv
# Ejemplo:
fw logexport -n -m -i 2026-07-22_235900.log -o /var/log/audit_export.csv

# Filtrar eventos de application token en el CSV exportado:
grep -i "application token" /var/log/audit_export.csv

# Filtrar eventos de las IPs de atacantes:
grep -iE "151\.241\.99\.207|151\.241\.99\.233|158\.62\.198\.182|192\.142\.10\.99|139\.28\.37\.250|194\.213\.18\.137" /var/log/audit_export.csv

# Para logs en un servidor de log dedicado, usar fwm logexport:
fwm logexport -n -m -i <NOMBRE_LOG> -o /var/log/mgmt_audit.csv

Advertencia: Los nombres exactos de campos y columnas pueden variar según la versión de Gaia y la configuración del Log Exporter. Ajuste los patrones de búsqueda (grep) según los nombres de columnas observados en su exportación. La vía oficial de detección es la query de SmartConsole descrita en 6.2 y 6.3.

6.5 Verificación de cuentas administrativas sospechosas

Tras una explotación exitosa, un atacante podría crear cuentas o modificar políticas. Verifique:

# Listar administradores configurados (Expert mode):
fwm -a
# o mediante MGMT API:
mgmt_cli show administrators --format json

En SmartConsole revise el Audit Logs View buscando:

• Creación de nuevos administradores.
• Modificación de reglas de Access Control.
• Cambios en la configuración de Trusted Clients.
• Instalación de políticas fuera de horario habitual.

---

7. Checklist de Remediación

Fase 1 — Identificación (Día 0)

• [ ] Conectar al Management Server y ejecutar show version all para identificar la versión.
• [ ] Ejecutar show installer packages installed para identificar el Take del Jumbo Hotfix.
• [ ] Cruzar la versión y Take con la tabla de la sección 2.3 para determinar si es vulnerable.
• [ ] En entornos MDS, repetir para cada CMA con $MDSVERUTIL AllCMAs.

Fase 2 — Evaluación de Exposición (Día 0)

• [ ] Verificar desde internet si los puertos TCP 443, 19009 y 4434 son alcanzables hacia el Management Server.
• [ ] Abrir SmartConsole > Manage & Settings > Permissions & Administrators > Trusted Clients.
• [ ] Verificar que ninguna entrada tenga Type = Any.
• [ ] Documentar el resultado en la tabla de la sección 3.3.

Fase 3 — Mitigación Inmediata (Día 0 — antes del parche)

• [ ] Restringir Trusted Clients a IP/subredes específicas (eliminar Any).
• [ ] Verificar que las implied rules para control connections están habilitadas.
• [ ] Añadir reglas de firewall explícitas limitando el acceso al Management Server.
• [ ] Si el Management Server está expuesto a internet, aislarlo detrás de VPN/firewall perimetral.
• [ ] Instalar política tras cada cambio.

Fase 4 — Aplicación del Parche (Día 0-1)

• [ ] Realizar backup completo del Management Server (snapshot/backup Gaia).
• [ ] Verificar que el CPUSE Deployment Agent está en la versión recomendada (sk92449).
• [ ] Descargar o localizar el Jumbo Hotfix Accumulator correspondiente:
  • [ ] R82.10 → Take 36+
  • [ ] R82 → Take 118+
  • [ ] R81.20 → Take 158+
• [ ] Importar/verificar el paquete en CPUSE.
• [ ] Instalar el paquete (online u offline).
• [ ] Esperar el reboot automático.
• [ ] Verificar post-instalación: show installer packages installed muestra el Take correcto.
• [ ] Verificar servicios: cpstat mg y cpstat fw.
• [ ] Conectar SmartConsole y verificar acceso administrativo.

Fase 5 — Auditoría de Compromiso (Día 0-2)

• [ ] Ejecutar query de IoCs en SmartConsole (sección 6.2).
• [ ] Ejecutar query de Authentication method: application token en Audit Logs (sección 6.3).
• [ ] Exportar logs con fw logexport y filtrar por IPs atacantes (sección 6.4).
• [ ] Revisar creación de administradores sospechosos con fwm -a o MGMT API.
• [ ] Revisar cambios de política en Audit Logs no planificados.
• [ ] Si se confirma compromiso: activar plan de respuesta a incidentes, notificar a Check Point Support, y evaluar obligaciones de notificación regulatoria (ej. GDPR/CNIL en Europa, BOD 26-04 en EE.UU.).

Fase 6 — Versiones EOS (R77.30, R80.x, R81, R81.10)

• [ ] Aplicar mitigaciones de Fase 3 inmediatamente (no hay fix de vendor).
• [ ] Abrir caso con Check Point Support para evaluar disponibilidad de hotfix privado.
• [ ] Planificar upgrade urgente a R81.20, R82 o R82.10.
• [ ] Mientras tanto, mantener Trusted Clients restringido y Management Server aislado de internet.

---

8. Referencias

• Check Point sk185169 — CVE-2026-16232 Authentication bypass with SmartConsole login
• Check Point Blog — Security Advisory: Active Exploitation of SmartConsole Authentication Bypass
• R82 Jumbo Hotfix Take 118 — Release Notes
• R81.20 Jumbo Hotfix Accumulator Downloads
• NVD — CVE-2026-16232
• Tenable — CVE-2026-16232
• CISA Known Exploited Vulnerabilities Catalog
• Threadlinqs Intelligence — TL-2026-1650
• CPUSE Administration Guide
• R82 Gaia Administration Guide