Check Point管理サーバーの脆弱性CVE-2026-93616の悪用
Check Pointの2026年9月22日の告知によると、管理用Webサービスにある認証前のパストラバーサルの脆弱性CVE-2026-93616はゼロデイ脆弱性で、Check Point Researchが少数の的を絞った悪用を特定した［1］。VulnCheckは10月16日の週報で、公開のPoCは出ていないとし、インターネットに面した管理サーバーを約3,150台と数えた［12］。
脆弱性の内容
Check Pointのアドバイザリsk1000171によると、ディレクトリトラバーサルとファイルアップロードの脆弱性により、認証されていない攻撃者がManagement Serverに任意のスクリプトをアップロードして実行できる［2］。Check Pointはブログの告知で、任意のパスにあるスクリプトの実行と任意のJavaクラスの読み込みを攻撃者に許すと説明した［1］。
| 項目 | 値 | 資料 |
|---|---|---|
| CVSS | 9.8 | ［2、4］ |
| CVSS 3.1のベクトル（CVEレコード） | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H | ［4］ |
| CWE | CWE-22 | ［4］ |
| SSVC（CISAの追記） | Exploitation: active、Automatable: yes、Technical Impact: total | ［4］ |
Security NEXTは、このCVSSの値が4段階の重要度で最も高い「クリティカル（Critical）」に当たると報じた［15］。Check Pointはアドバイザリの重要度を1段階低い「高（High）」にしたと伝えた［15］。
Bishop Foxの解析によると、脆弱な面はCPMサーバーで、TCP 19009番ポートでApache CXFのSOAPのWebサービスを出すJavaのプロセスである［11］。アドバイザリの説明はトラバーサルとアップロードの2つの欠陥を挙げる［11］。修正はさらに、ほかの2つに認証情報なしで届かせる3つ目の欠陥、偽装したログインも閉じていた［11］。
Bishop Foxは、Check Pointが説明より多くを修正したと書いた［11］。CVEの採番機関（CNA）はCheck Pointで、外部の発見者の名は挙がっていない［11］。
時系列
| 日付 | 主体 | 内容 | 資料 |
|---|---|---|---|
| 2026年 | Check Point | 少数の的を絞った攻撃を観測した | ［1］ |
| 2026年 | - | CVE-2026-93616の番号が予約された | ［4］ |
| 2026年 | Check Point | sk1000171を作成した | ［2］ |
| 2026年 | Check Point | CVEレコードとブログの告知を公開し、修正を出した | ［1、4］ |
| 2026年 | CISA | KEVカタログに追加した | ［10］ |
| 2026年 | Canadian Centre for Cyber Security | AV26-902に、Check Pointが悪用を報告したことと、CISAのKEVへの追加を追記した | ［8］ |
| 2026年 | NCSC（ニュージーランド） | 注意喚起を出した | ［9］ |
| 2026年 | Check Point Research | 週報で2件の脆弱性の悪用を取り上げた | ［7］ |
| 2026年 | JPCERT/CC | Weekly Reportで、Check Pointが悪用した攻撃を確認していると伝えた | ［6］ |
| 2026年 | Bishop Fox | 攻撃の再現の結果と、外から修正の状態を判定する検出ツールを公開した | ［11］ |
| 2026年 | Check Point | sk1000171を更新した | ［2］ |
| 2026年 | VulnCheck | 攻撃コードを開発したと週報で公表した | ［12］ |
対象の製品と版
Check Pointはsk1000171で、影響を受ける製品をSecurity Management Server、Multi-Domain Security Management Server、Log Server、Multi-Domain Log Server、SmartEventの5つとした〔注1〕［2］。Smart-1 Cloud（修正適用済み）、Check Point Firewall Appliances、Check Point Spark Firewallは影響を受けない［2］。
| 製品の系列 | 影響を受ける版 | 修正を含むJumbo Hotfix Accumulator | 資料 |
|---|---|---|---|
| R82.20 | R82.20 | Take 10以降 | ［2］ |
| R82.10 | Jumbo Hotfix Take 44以下 | Take 45以降 | ［2］ |
| R82 | Jumbo Hotfix Take 126以下 | Take 127以降 | ［2］ |
| R81.20 | Jumbo Hotfix Take 166以下 | Take 170以降 | ［2］ |
| R81.10（EoS） | Jumbo Hotfix Take 190以下 | Take 192以降 | ［2］ |
| R80、R80.10、R80.20、R80.30、R80.40、R81（すべてEoS） | すべて | - | ［2］ |
悪用の状況
sk1000171で、Check Pointはこの脆弱性が実環境で悪用されており、攻撃を受けた少数の顧客を把握していると説明した［2］。Check Point Researchは週報で、CVE-2026-85102〔注2〕とCVE-2026-93616の活発な悪用を観測したと書いた［7］。欠陥はSecurity GatewayとSecurity Managementの製品に影響し、リモートコード実行に至りうるとした［7］。
痕跡と悪用の段階
Check Pointはsk1000171で、Security Management、Multi-Domain Security Management、Log、Multi-Domain Log、SmartEventの各サーバーで侵害の痕跡を確かめるよう求めた［2］。痕跡が一致しても、侵害の成功を必ずしも確定しないとした［2］。指標1は認証回避の悪用を示しうるもので、認証されていない攻撃者に有効なセッションを与えうる［2］。指標2.a〜2.cは認証の段階を通過した利用者による悪用を示しうるもので、ディレクトリトラバーサル、ファイルアップロード、任意のスクリプトの実行に至りうる［2］。
| 種別 | 値 | 示した組織 | 資料 |
|---|---|---|---|
| 指標1（認証回避） | cpm.elgのログにある1,001字以上の利用者名でのログインの記録と、同じ時刻のFWM/MDSのコアダンプ | Check Point | ［2］ |
| 指標2a | cpm.elgのログの、版のパスにある不審な区切り文字 | Check Point | ［2］ |
| 指標2b | アップロードのパスのトラバーサル（CPupgrade-tools関連の場所が対象） | Check Point | ［2］ |
| 指標2c | JARのパスがCPupgrade-toolsディレクトリの外へ出る解決（権限昇格に至りうる） | Check Point | ［2］ |
Bishop Foxは、修正前のR81.10とR82.10の検証用サーバーで攻撃を最後まで再現し、両方でrootとしての実行を確かめたと報告した［11］。攻撃の全段階はTCP 19009番ポートの1つで進み、認証されていない攻撃者がrootとしてファイルを書き込んでrootのコード実行に至る［11］。検証した攻撃の連鎖はベンダーの痕跡が監視するコードの経路を通らず、捉えるのはログの検索ではなくファイルの完全性の監視だとした［11］。
VulnCheckは、認証情報も事前のアクセスも要らない攻撃コードを開発したと週報に書いた［12］。
当局の登録と注意喚起
CISAは、KEVカタログに加えた4件の1つとして、CVE-2026-93616を「Check Point Multiple Products Path Traversal Vulnerability」の名で配信した［10］。NVDの記録に載ったKEVの項目で、CISAは対応の期限を9月25日とし、ベンダーの指示に従って緩和策を適用するか、緩和策が無ければ製品の使用をやめるよう求めた［5］。
CISAの同じ配信によると、BOD 26-04は連邦文民行政機関にKEVカタログの脆弱性の迅速な修正を求めている［10］。修正の前に侵害されていなかったかを確かめる基本的な期待も定めている［10］。SecurityWeekは、BOD 26-04の要件に沿って、連邦機関はKEVへの追加の後3日間で両方の脆弱性を修正するよう求められたと報じた［13］。
ニュージーランドのNCSCは注意喚起で、影響製品を使う国内の組織にアドバイザリの確認と早急な修正の適用を勧め、影響製品への不正アクセスや侵害の調査を求めた［9］。
修正と回避策
- Management Serverへのアクセスを、Check Pointのゲートウェイと管理のハードニングのガイドに従ってSecurity Gateway/Check Point Firewallの背後に限る［2］。
- TCP/19009番ポートへのアクセスを、信頼できるIPアドレスからだけにする［2］。
- implied rulesを有効にしている場合は、Trusted Clientsを信頼できる内部のIPアドレスに限る［2］。
- 表2の修正を含むJumbo Hotfix Accumulatorか、R82.20ではSecurity Hotfix（再起動不要）を入れる［2］。
LivePatch Take 28/29はこの問題に対処せず、修正の性質上、この問題のLivePatchは提供されない［2］。Bishop Foxは、露出していて未修正だったサーバーでは、修正に加えて認証情報と証明書の入れ替えを計画するよう勧めた［11］。
別の脆弱性CVE-2026-91843（sk1000155）の修正も、表2のJumbo Hotfix Accumulatorに含まれる［2］。Check Pointはsk1000155で、CVE-2026-91843をSecurity ManagementとLog Serverの認証前のログイン処理のスタックオーバーフローとし、修正はLivePatchに含まれるとした［3］。The Hacker Newsは、フランスのCERT Santéの要約を引き、Check Pointが9月16日にCVE-2026-91843をLivePatchで修正したと報じた［14］。そのLivePatchはTake 28で、R82.20ではTake 29だったと伝えた［14］。
未公表の事項
- 攻撃を受けた顧客の数・組織名・地域
- 7月23日の攻撃を行った攻撃者と、その帰属
- 攻撃者の侵入の経路と、悪用の後の活動
- 7月23日の観測から公表までの経緯と、脆弱性を見つけた時期
- sk1000171の10月13日の更新の内容
注
出典
当事者
- ［1］Check Point Software Technologies Ltd.『Security Advisory: Action Required: Active Exploitation of CVE-2026-85102 and a Management Pre-Authentication Vulnerability CVE-2026-93616』（2026年9月22日公開）
- ［2］Check Point Software Technologies Ltd.『sk1000171 - CVE-2026-93616: Directory Traversal and File upload allows execution of arbitrary script on the Management Server』（2026年9月20日公開、2026年10月13日更新）
- ［3］Check Point Software Technologies Ltd.『sk1000155 - CVE-2026-91843 - Stack overflow in login process to the Security Management and Log Servers』（2026年9月16日公開、2026年10月13日更新）
- ［7］Check Point Software Technologies Ltd.『28th September – Threat Intelligence Report』（2026年9月28日公開、2026年9月30日更新）
公的機関
- ［4］CVE Program『CVE-2026-93616』（2026年9月22日公開、2026年9月23日更新）
- ［5］National Institute of Standards and Technology『CVE-2026-93616』（2026年9月22日公開、2026年9月23日更新）
- ［6］一般社団法人JPCERTコーディネーションセンター『JPCERT/CC WEEKLY REPORT 2026-09-30 【11】複数のCheck Point製品にパストラバーサルの脆弱性』（2026年9月30日公開）
- ［8］Canadian Centre for Cyber Security『Check Point security advisory (AV26-902) – Update 2』（2026年9月9日公開、2026年9月22日更新）
- ［9］National Cyber Security Centre『CVE-2026-93616 affecting Check Point Management Server』（2026年9月23日公開）
- ［10］Cybersecurity and Infrastructure Security Agency『CISA Adds Four Known Exploited Vulnerabilities to Catalog』（2026年9月22日公開）
調査・観測
- ［11］Bishop Fox, Inc.『One Port to Root: Weaponizing Check Point Management CVE-2026-93616』（2026年10月1日公開）
- ［12］VulnCheck Inc.『50+ new exploits and detections, including new Check Point, GitLab, Citrix, Fortinet, Ahsay, and Atlassian coverage.（Initial Access, October 10 - October 16, 2026）』（2026年10月16日公開）
報道機関
- ［13］Wired Business Media『Check Point Patches Exploited Management Server Zero-Day』（2026年9月23日公開）
- ［14］The Hacker News『Check Point Warns of Management Server Zero-Day Exploited in Targeted Attacks』（2026年9月22日公開）
- ［15］ニュースガイア株式会社『Check Point製品の管理サーバに深刻な脆弱性 - すでに悪用も』（2026年9月23日公開）
更新記録
- 2026年9月29日：公開した。
- 2026年9月30日：JPCERT/CCのWeekly Report（出典6）を「時系列」に加え、Check Point Researchの週報（出典7）の9月30日の更新版に合わせて「悪用の状況」を改めた。
- 2026年10月1日：Bishop Foxの解析の記事（出典11）を加え、「脆弱性の内容」「時系列」「悪用の状況」「修正と回避策」を改めた。
- 2026年10月13日：sk1000171（出典2）とsk1000155（出典3）の10月13日の更新を「時系列」と「未公表の事項」に加え、「対象の製品と版」と「修正と回避策」を更新版に合わせて改めた。
- 2026年10月16日：VulnCheckの週報（出典12）を加え、リードと「時系列」「悪用の状況」を改めた。