Check Point Management Server: CVE-2026-91843 öffnet Root ohne Login

Ein zu langer Benutzername im Login-Feld – mehr braucht es nicht, um auf einem Check Point Management Server Code als root auszuführen. Die Lücke trägt die Nummer CVE-2026-91843, Check Point bewertet sie mit CVSS 9.8. Erreichbar ist sie allerdings nur über den Trusted-Clients-Pfad, und Hinweise auf eine Ausnutzung gibt es bislang keine. Genau das macht sie zur seltenen Gelegenheit, einmal vor den Angreifern fertig zu sein.

Was am Check Point Management Server verwundbar ist

Der Fehler steckt im Login-Prozess, also in dem Teil, der Anfragen verarbeitet, bevor jemand authentifiziert ist. Eine Anmeldeanfrage mit einem sehr langen Benutzernamen löst laut dem Scanning-Anbieter Censys einen Stack Overflow aus. Authentifizierung ist dafür nicht nötig.

Newsletter

Klartext ins Postfach

KI, Security & Crypto – die wichtigsten Analysen, kein Spam. Jederzeit abbestellbar.

E-Mail-Adresse *

Vorname

Nachname

Betroffen sind laut Check Point nicht nur Security Management Server, sondern auch Multi-Domain Security Management Server, Log Server und Multi-Domain Log Server. Standalone-Installationen, bei denen Management und Gateway auf einem System laufen, zählen ebenfalls dazu. Der gehostete Dienst Smart-1 Cloud ist nach einem Alert von NHS England Digital nicht betroffen, weil der Fix dort bereits eingespielt ist.

Welche Versionsstände betroffen sind

Der CVE-Eintrag nennt die betroffenen Zweige über den jeweiligen Jumbo-Hotfix-Take. Ein Server auf einem gelisteten Zweig mit dem genannten Take oder einem älteren ist verwundbar:

• R82.10 mit Jumbo Hotfix Take 44 oder niedriger
• R82 mit Take 126 oder niedriger
• R81.20 mit Take 166 oder niedriger
• R81.10 mit Take 190 oder niedriger – bereits End of Support
• R81, R80.40, R80.30, R80.20, R80.10 und R80 – ebenfalls End of Support

R82.20 fehlt in der Versionsliste des CVE-Eintrags. NHS England Digital und Censys führen den Zweig unter Verweis auf sk1000155 trotzdem als betroffen, und Check Points Vice President für Netzwerksicherheit, Aviv Abramovich, bestätigte das gegenüber The Hacker News. Censys schreibt zudem, dass bislang kein Jumbo Hotfix diesen Zweig schützt. Bei den abgekündigten Zweigen widersprechen sich die Quellen: Abramovich nennt einen Fix über ein Support-Ticket, Censys schreibt, dort gebe es gar keinen Fix und nur ein Upgrade helfe. Wer R81.10 oder älter betreibt, sollte das direkt beim Check-Point-Support klären.

Der Patch kommt über LivePatch, beschrieben in Advisory sk1000155. Check Point teilte am 16. September in der CheckMates-Community mit, dass Kunden mit aktivierten automatischen Updates bereits geschützt seien. Anzeichen für eine Ausnutzung gibt es bislang keine: CISA vermerkte im CVE-Datensatz am 17. September den Exploitation-Status „none”.

Was das für dich bedeutet

Die eigentliche Nachricht ist nicht der einzelne Stack Overflow, sondern das Muster. Nach Zählung von The Hacker News ist CVE-2026-91843 seit dem 22. Juli bereits die fünfte kritische Lücke, über die ein Angreifer den Security Management Server erreicht, ohne sich anzumelden. Zwei davon habe ich hier selbst behandelt: zuletzt CVE-2026-85103, die Heap-Overflow-Lücke in der VPN-Zertifikatsverarbeitung, die ebenfalls bis ins Quantum Security Management reicht.

Aus CISO-Sicht heißt das: Die Management-Ebene ist kein Nebenschauplatz mehr, sondern ein eigenständiges Angriffsziel. Wer den Management Server übernimmt, bekommt Policies, Admin-Zugänge und Logs auf einen Schlag – und kann die Firewall-Regeln danach so schreiben, wie es ihm passt. Wir sichern seit Jahren die Datenpfade und behandeln die Verwaltungsschicht wie internes Zubehör. Diese Rechnung geht nicht mehr auf.

Zwei Punkte aus der Praxis, die in den Meldungen leicht untergehen. Erstens: „Automatische Updates sind aktiv” ist keine Bestätigung. Bei den VPN-Fixes der Vorwoche berichteten mehrere Kunden in Check Points eigener Community, dass das Paket am Tag der Veröffentlichung noch nicht angekommen war – ein Community-Admin vermutete eine gestaffelte Verteilung. Die Download-Links der damaligen Advisories tauchten zudem erst nach Anmeldung im User Center auf. Zweitens: Censys sieht weltweit 3.836 Hosts mit der Standardkennung von Check-Point-Management- und Log-Servern. Das ist ausdrücklich keine Zahl bestätigt verwundbarer Systeme, sondern ein Hinweis darauf, wie viele dieser Server überhaupt aus dem Internet sichtbar sind. Und genau das sollten sie nicht sein.

Konkrete Schritte

1. Patch verifizieren statt annehmen. cplp list zeigt, welche LivePatches installiert sind und in welchem Status. Erst diese Ausgabe ist ein Beleg – die Checkbox in der SmartConsole ist nur eine Absicht.
2. Trusted Clients einschränken. Der verwundbare Pfad läuft laut Abramovich ausschließlich über die Trusted-Clients-Einstellung. Sie steht in der SmartConsole unter Manage & Settings → Permissions & Administrators → Trusted Clients. Steht dort „any IP address”, ändere das auf bekannte Hosts – heute noch.
3. Management nie direkt ins Internet. Check Points eigener Hardening-Guide sagt das klar: Verwaltungszugriff gehört hinter ein VPN. Diese eine Maßnahme hätte schon bei der im Juli aktiv ausgenutzten SmartConsole-Lücke CVE-2026-16232 die Ausnutzung verhindert – betroffen waren damals laut Check Point genau die Installationen, deren Management ohne IP-Beschränkung im Internet stand.
4. End-of-Support-Zweige nicht vergessen. R81.10 und alles darunter ist abgekündigt. Ob es dort überhaupt einen Fix gibt, widersprechen sich die Quellen – also Support-Ticket öffnen und parallel die Migration planen.
5. Log-Server mitdenken. Sie werden bei Patch-Runden gern vergessen, stehen hier aber ausdrücklich mit auf der Liste.

Wer das Prinzip „Verwaltungsoberfläche gehört nicht ins offene Netz” auch zu Hause umsetzen will, findet die passenden Grundlagen in meinem Ratgeber zu Routern und Netzwerk-Sicherheit.

Quellen

• CVE-Eintrag CVE-2026-91843
• Check Point Advisory sk1000155
• Check Point CheckMates: Critical Security Update (16.09.2026)
• The Hacker News: Critical Check Point Management Flaw (17.09.2026)
• NHS England Digital: Cyber Alert CC-4854