CVE-2026-93616 — Check Point Multiple Products Path Traversal Vulnerability
A directory traversal and file upload vulnerability allows an unauthenticated attacker to upload and execute arbitrary scripts on Check Point Management Server.
Descrição oficial em inglês (tradução ainda não revisada).
Quem explora e qual a prioridade
Nota de 0 a 100 que combina exploração confirmada, uso por ransomware e grupos APT, exploits públicos, EPSS e severidade.
Como a nota foi calculada
- Exploração confirmada (CISA KEV)+35
- Exploit/PoC público (nuclei, github)+10
- EPSS 19.7% (probabilidade de exploração em 30 dias)+15
- Severidade técnica (critical)+10
- Exploração automatizável (SSVC)+3
A nota ordena a fila de correção; não substitui o contexto dos seus ativos (exposição à internet, criticidade, compensações).
Triagem
Está sendo explorada, qual a probabilidade de exploração, o que afeta e qual a severidade segundo as fontes.
Avaliação SSVC da CISA CISA
Três pontos de decisão que a CISA publica para as CVEs que avalia (SSVC 2.0.3). Uma decisão de priorização, não uma nota de severidade.
Remediação
Correções e mitigações documentadas pelas fontes — com link para o aviso original.
- Patch documentado — support.checkpoint.com (NIST National Vulnerability Database)
Ação exigida pela CISA CISA
Apply mitigations in accordance with vendor instructions, ensuring compliance with CISA’s BOD 26-04 Prioritizing Security Updates Based on Risk (see URL in Notes) guidance and CISA’s “Forensics Triage Requirements” (see URL in Notes). Follow applicable BOD 26-04 guidance for cloud services or discontinue use of the product if mitigations are unavailable. Stakeholders are responsible for evaluating each asset's internet exposure and ensuring adherence to BOD 26-04 patching guidelines.
Prazo federal (EUA): 25/09/2026 — vencido há 20 dia(s)
Primeiras 24 horas
Ordenado a partir dos próprios campos do registro — exposição primeiro, porque não se corrige o que não se encontrou. Ponto de partida, gerado por regras.
- Identifique ativos expostos que executam as combinações de fabricante/produto/versão afetadas (Checkpoint Multi-domain Security Management, Checkpoint Quantum Security Management).
- Trate como remediação emergencial: a CVE está na CISA KEV (exploração confirmada).
- O ataque é pela rede e não exige privilégios: restrinja a exposição (ACLs, VPN, WAF) até corrigir.
- Aplique a versão corrigida ou o patch documentado na seção Remediação.
- EPSS acima de 97% das CVEs pontuadas: priorize na fila de correção.
- Procure nos logs disponíveis sinais de tentativa de exploração compatíveis com a classe da falha (manipulação de arquivos), erros e anomalias de autenticação.
Escopo afetado
Fabricante, produto e versões como as fontes os descrevem.
| Fabricante | Produto | Versões | Status | Fonte |
|---|---|---|---|---|
| Checkpoint | Multi-domain Security Management |
versão r82.10-take_19versão r82.10-take_24versão r82.10-take_36versão r82.10-take_40versão r82.10-take_44versão r82.10-take_6versão r82.20≥ r80 e < r81.10 e mais 113versão r81.10versão r81.10-take_106versão r81.10-take_107versão r81.10-take_109versão r81.10-take_110versão r81.10-take_113versão r81.10-take_128versão r81.10-take_129versão r81.10-take_130versão r81.10-take_131versão r81.10-take_132versão r81.10-take_135versão r81.10-take_139versão r81.10-take_14versão r81.10-take_141versão r81.10-take_150versão r81.10-take_152versão r81.10-take_156versão r81.10-take_158versão r81.10-take_165versão r81.10-take_169versão r81.10-take_170versão r81.10-take_171versão r81.10-take_172versão r81.10-take_173versão r81.10-take_174versão r81.10-take_177versão r81.10-take_181versão r81.10-take_183versão r81.10-take_187versão r81.10-take_190versão r81.10-take_22versão r81.10-take_30versão r81.10-take_38versão r81.10-take_44versão r81.10-take_45versão r81.10-take_55versão r81.10-take_61versão r81.10-take_66versão r81.10-take_75versão r81.10-take_78versão r81.10-take_79versão r81.10-take_81versão r81.10-take_82versão r81.10-take_85versão r81.10-take_87versão r81.10-take_9versão r81.10-take_93versão r81.10-take_94versão r81.10-take_95versão r81.20versão r81.20-take_10versão r81.20-take_101versão r81.20-take_103versão r81.20-take_105versão r81.20-take_111versão r81.20-take_113versão r81.20-take_115versão r81.20-take_118versão r81.20-take_119versão r81.20-take_120versão r81.20-take_122versão r81.20-take_126versão r81.20-take_127versão r81.20-take_14versão r81.20-take_141versão r81.20-take_146versão r81.20-take_158versão r81.20-take_161versão r81.20-take_166versão r81.20-take_24versão r81.20-take_26versão r81.20-take_38versão r81.20-take_41versão r81.20-take_43versão r81.20-take_45versão r81.20-take_53versão r81.20-take_54versão r81.20-take_65versão r81.20-take_70versão r81.20-take_76versão r81.20-take_79versão r81.20-take_8versão r81.20-take_84versão r81.20-take_89versão r81.20-take_90versão r81.20-take_92versão r81.20-take_96versão r81.20-take_98versão r81.20-take_99versão r82versão r82-take_10versão r82-take_103versão r82-take_107versão r82-take_118versão r82-take_12versão r82-take_122versão r82-take_126versão r82-take_14versão r82-take_18versão r82-take_19versão r82-take_25versão r82-take_33versão r82-take_34versão r82-take_36versão r82-take_39versão r82-take_41versão r82-take_43versão r82-take_44versão r82-take_60versão r82-take_73versão r82-take_91versão r82.10 |
Vulnerável | NIST National Vulnerability Database |
| Checkpoint | Quantum Security Management |
versão r82.20versão r82-take_44versão r82.10-take_6versão r82.10-take_44versão r82.10-take_40versão r82.10-take_36versão r82.10-take_24versão r82.10-take_19 e mais 113versão r82.10versão r82-take_91versão r82-take_73versão r82-take_60≥ r80 e < r81.10versão r81.10versão r81.10-take_106versão r81.10-take_107versão r81.10-take_109versão r81.10-take_110versão r81.10-take_113versão r81.10-take_128versão r81.10-take_129versão r81.10-take_130versão r81.10-take_131versão r81.10-take_132versão r81.10-take_135versão r81.10-take_139versão r81.10-take_14versão r81.10-take_141versão r81.10-take_150versão r81.10-take_152versão r81.10-take_156versão r81.10-take_158versão r81.10-take_165versão r81.10-take_169versão r81.10-take_170versão r81.10-take_171versão r81.10-take_172versão r81.10-take_173versão r81.10-take_174versão r81.10-take_177versão r81.10-take_181versão r81.10-take_183versão r81.10-take_187versão r81.10-take_190versão r81.10-take_22versão r81.10-take_30versão r81.10-take_38versão r81.10-take_44versão r81.10-take_45versão r81.10-take_55versão r81.10-take_61versão r81.10-take_66versão r81.10-take_75versão r81.10-take_78versão r81.10-take_79versão r81.10-take_81versão r81.10-take_82versão r81.10-take_85versão r81.10-take_87versão r81.10-take_9versão r81.10-take_93versão r81.10-take_94versão r81.10-take_95versão r81.20versão r81.20-take_10versão r81.20-take_101versão r81.20-take_103versão r81.20-take_105versão r81.20-take_111versão r81.20-take_113versão r81.20-take_115versão r81.20-take_118versão r81.20-take_119versão r81.20-take_120versão r81.20-take_122versão r81.20-take_126versão r81.20-take_127versão r81.20-take_14versão r81.20-take_141versão r81.20-take_146versão r81.20-take_158versão r81.20-take_161versão r81.20-take_166versão r81.20-take_24versão r81.20-take_26versão r81.20-take_38versão r81.20-take_41versão r81.20-take_43versão r81.20-take_45versão r81.20-take_53versão r81.20-take_54versão r81.20-take_65versão r81.20-take_70versão r81.20-take_76versão r81.20-take_79versão r81.20-take_8versão r81.20-take_84versão r81.20-take_89versão r81.20-take_90versão r81.20-take_92versão r81.20-take_96versão r81.20-take_98versão r81.20-take_99versão r82versão r82-take_10versão r82-take_103versão r82-take_107versão r82-take_118versão r82-take_12versão r82-take_122versão r82-take_126versão r82-take_14versão r82-take_18versão r82-take_19versão r82-take_25versão r82-take_33versão r82-take_34versão r82-take_36versão r82-take_39versão r82-take_41versão r82-take_43 |
Vulnerável | NIST National Vulnerability Database |
| Checkpoint | Quantum Security Management |
versão R80 (EOS)versão R80.10 (EOS)versão R80.20 (EOS)versão R80.30 (EOS)versão R80.40 (EOS)versão R81 (EOS)versão R81.10 (EOS) with Jumbo Hotfix Take 190 or belowversão R81.20 with Jumbo Hotfix Take 166 or below e mais 3versão R82 with Jumbo Hotfix Take 126 or belowversão R82.10 with Jumbo Hotfix Take 44 or belowversão R82.20 with no Jumbo Hotfix |
Vulnerável | CVE Program (cve.org) e CISA ADP |
Características do ataque
O vetor CVSS decodificado. Descreve o ataque, não a sua exposição a ele.
Todas as pontuações coletadas
As fontes pontuam de forma independente e podem discordar; cada linha diz quem pontuou e em qual versão.
| Nota | Versão | Severidade | Explor. | Impacto | Pontuado por |
|---|---|---|---|---|---|
| 9.8 | CVSS 3.1 | Crítica | 3.9 | 5.9 | cve@checkpoint.com via NIST National Vulnerability Database |
| 9.8 | CVSS 3.1 | Crítica | — | — | GitHub, Inc. via GitHub Security Advisories |
| 9.8 | CVSS 3.1 | Crítica | — | — | checkpoint via CVE Program (cve.org) e CISA ADP |
CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H (nota exibida no topo: cve@checkpoint.com) Fraqueza MITRE
Classe de fraqueza segundo o catálogo CWE do MITRE.
Detalhes da CISA KEV CISA
A CISA inclui uma CVE no catálogo quando há evidência de exploração contra alvos reais.
A CISA registra uso por ransomware apenas em campanhas confirmadas: "Desconhecido" significa não registrado, não descartado. O prazo vincula agências federais dos EUA; para os demais, é uma referência.
Exploits, PoCs e templates de detecção públicos
Código público que demonstra ou testa a falha aumenta a chance de exploração em massa — e os templates Nuclei ajudam a encontrar ativos vulneráveis no seu ambiente.
- Simple Checks to look for indicators of compromise ★ 0 22/09/2026
- Safely detect Check Point CPM RCE CVE-2026-93616 ★ 0 01/10/2026
Atenção: PoCs públicos às vezes são malware disfarçado. Use apenas para testes autorizados, em ambiente isolado. Este portal não hospeda código de exploração — só aponta as fontes.
EPSS ao longo do tempo FIRST
13/10/2026 → 14/10/2026 · 2 leitura(s) · máximo 19.65%
Detecção
Derivado do vetor CVSS e da classe da fraqueza. Pontos de partida, não regras testadas.
- Priorize telemetria de borda para o componente exposto na rede (proxy, WAF, IDS/IPS).
- Monitore criação de arquivos em diretórios web e caminhos com sequências de travessia (../).
- Faça busca retroativa nos logs desde antes de 22/09/2026 (inclusão na KEV): a exploração pode ter começado antes.
Linha do tempo
O que aconteceu com esta CVE, do mais recente ao mais antigo.
- 2026
- Produtos afetados adicionados · checkpoint/quantum security management
- Avaliação SSVC atualizada
- Ficha publicada
- Correção documentada
- Produtos afetados adicionados · checkpoint/multi-domain security management, checkpoint/quantum security management
- CVSS alterado · 9.8
- Status na fonte alterado · → Analyzed
- Adicionada à CISA KEV (detectado)
- Registro criado nesta base
- CVE publicada
- Incluída no catálogo CISA KEV
Atividade das fontes
Leituras que se repetem foram contadas em vez de listadas.
- 2× Referências adicionadas · 13/10/2026 – 13/10/2026
- 1× Descrição oficial atualizada · 13/10/2026 – 13/10/2026
Referências
6 no registro
- blog.checkpoint.com/security/security-advisory-action-required-active-exploitation-of-cve
- support.checkpoint.com/results/sk/sk1000171
- www.cisa.gov/known-exploited-vulnerabilities-catalog
- github.com/advisories/GHSA-x5gq-4cxx-rf2r
- nvd.nist.gov/vuln/detail/CVE-2026-93616
- blog.checkpoint.com/security/security-advisory-action-required-active-exploitation-of-cve
Em outras páginas do site
CVEs relacionadas (mesmos produtos)
- Crítica CVE-2026-16232 Check Point SmartConsole Improper Authentication Vulnerability KEV 22/07/2026
- Média CVE-2026-48136 Authenticated Administrator Role-Based Access Control Bypass in Compliance 26/05/2026
Não consta em nenhuma fonte consultada
Listado em vez de deixado em branco: um campo vazio e um não medido parecem iguais na tela, e só um deles é motivo para procurar em outro lugar.
- Nenhum IOC confirmado (IPs, domínios, hashes ou artefatos de malware) fornecido.
- Nenhum inventário de ativos, controle compensatório ou evidência de implantação de patch da sua organização.
- Nenhuma captura de tráfego de exploração, amostra de log ou caso de incidente.
Respondido a partir deste registro
Texto montado apenas com os campos acima — sem afirmações adicionais.
O que os defensores devem saber primeiro?
CVE-2026-93616 é "Check Point Multiple Products Path Traversal Vulnerability", de severidade Crítica. Afeta Multi-domain Security Management (Checkpoint); as versões estão na tabela de escopo. Está na CISA KEV: há evidência de exploração real. CVSS 9.8 descreve a severidade técnica. EPSS 19.65% estima a probabilidade de exploração em 30 dias; nenhum dos dois substitui o contexto dos seus ativos. Verifique primeiro se ativos expostos ou críticos executam as versões afetadas, aplique as correções ou mitigações do fabricante e preserve logs para análise.
Comentários
Discussão técnica moderada. Leia as regras da comunidade.
Nenhum comentário ainda.
Entre ou crie uma conta para comentar e sugerir correções.