Un token invece della password: la falla di Check Point SmartConsole

La console che comanda il firewall

Ci sono vulnerabilità che contano per dove si trovano più che per come funzionano. La CVE-2026-16232 è una di queste. SmartConsole è il programma con cui gli amministratori Check Point gestiscono i gateway di sicurezza: scrivono le regole, definiscono cosa passa e cosa no, applicano la configurazione. È il posto da cui si comanda il perimetro. Una falla che consente di entrarci senza credenziali non è un problema di un'applicazione qualsiasi: è un problema del pannello di controllo della difesa.

Il meccanismo, descritto dal vendor nell'advisory sk185169, è un difetto nel processo di login. Un attaccante non autenticato, con visibilità di rete sul Management Server, può ottenere un token di login dell'applicazione e presentarlo come se fosse il proprio. Il server lo accetta e apre una sessione con privilegi amministrativi pieni. Da lì si possono modificare le policy di sicurezza e la configurazione: esattamente le leve che un attaccante vorrebbe in mano.

Zero-day, non ipotesi

La distinzione che rende questa storia seria è che non si parla di rischio teorico. Check Point dichiara di essere a conoscenza dello sfruttamento in corso, precisando però che riguarda un numero molto ridotto di clienti. La CISA, inserendola nel proprio catalogo lo stesso giorno della pubblicazione, conferma implicitamente lo stesso quadro: la vulnerabilità è armata e usata, non solo scoperta. È il motivo per cui la finestra di rimedio assegnata è di appena tre giorni.

Le condizioni per lo sfruttamento remoto, secondo l'advisory, sono due e vanno lette insieme: il Management Server deve essere raggiungibile via internet e i Trusted Clients — l'elenco degli indirizzi autorizzati a connettersi con la GUI — non devono avere restrizioni. Dove entrambe queste condizioni sono vere, la porta è aperta. Dove il Management Server è chiuso all'esterno o i Trusted Clients sono limitati a subnet fidate, la superficie si riduce parecchio. Questa è anche, non a caso, la mitigazione immediata suggerita da Check Point in attesa o in aggiunta alla patch.

Cosa fare, con i numeri delle versioni

Il rimedio è distribuito attraverso i Jumbo Hotfix Accumulator. Secondo l'advisory, la correzione è inclusa nel Jumbo per R82.10 a partire dal Take 36 e nel Jumbo per R82 a partire dal Take 118. La misura di contenimento che vale la pena applicare comunque, indipendentemente dallo stato della patch, è limitare i Trusted Clients (i GUI client) a indirizzi e subnet fidati, e non esporre il Management Server su internet.

1. 01
   Rete verso il Management Server

   l'attaccante deve poterlo raggiungere
2. 02
   Token di login ottenuto

   il difetto di autenticazione lo consente senza credenziali
3. 03
   Sessione SmartConsole

   privilegi di amministratore completi, policy modificabili

Le incertezze, in chiaro

Un paio di cose vanno dette per quello che sono. Il punteggio CVSS non è del tutto univoco: NVD assegna 9.1, mentre alcune fonti riportano un 9.3; la differenza non cambia la sostanza — è una vulnerabilità critica — ma la segnaliamo perché i numeri si copiano, non si arrotondano. Gli identificatori MITRE ATT&CK indicati qui (T1190, T1078) sono una mappatura ragionata sul comportamento descritto, non ID pubblicati nell'advisory: Check Point non li fornisce, e li presentiamo come lettura, non come dato ufficiale. Infine, quanti clienti siano stati effettivamente colpiti non è quantificato oltre il «numero molto ridotto» dichiarato dal vendor: è una rassicurazione, non una misura verificabile in modo indipendente.

Resta il fatto centrale, che non è opinabile: per pochi giorni, chi gestiva un Management Server Check Point esposto senza restrizioni sui client aveva sopra la testa una falla che consegnava a un estraneo le chiavi del proprio firewall. La patch c'è. La priorità la detta la CISA: entro il 25 luglio.