Es ist der Albtraum jeder Firewall-Umgebung: Nicht die Firewall selbst wird geknackt, sondern die Schaltzentrale, die alle Firewalls steuert. Genau das passiert gerade bei Check Point. Die Lücke CVE-2026-16232 in Check Point Security Management und Multi-Domain Security Management wird aktiv ausgenutzt — der Hersteller bestätigt bereits kompromittierte Kunden.
SO SCHLIMM IST ES: Voll-Admin ohne Passwort
Die Schwachstelle ist ein Authentication Bypass: Ein Angreifer ohne jedes Login besorgt sich über das Internet ein Anwendungs-Login-Token und meldet sich damit per SmartConsole an — mit vollen Admin-Rechten. Danach kann er Sicherheitsrichtlinien und die komplette Security-Konfiguration nach Belieben umschreiben.
Warum das so brisant ist: Der Management-Server verteilt die Policies an alle angeschlossenen Gateways. Wer ihn kontrolliert, kontrolliert Sicherheitsrichtlinien, Admin-Berechtigungen, VPN-Konfigurationen, Threat-Prevention-Einstellungen und das Logging — also die gesamte Verteidigungslinie. Ein Community-Experte bringt es auf den Punkt: Eine Lücke in der Management-Ebene untergräbt das Vertrauensmodell der ganzen Sicherheitsarchitektur.
GEFAHR! CISA setzt die Frist auf MORGEN
Check Point bestätigt, dass eine „Handvoll“ Kunden betroffen ist — sie wurden benachrichtigt. Die US-Cyberbehörde CISA hat CVE-2026-16232 in den KEV-Katalog der aktiv ausgenutzten Lücken aufgenommen. US-Bundesbehörden müssen bis zum 25. Juli patchen und prüfen, ob sie bereits angegriffen wurden. Diese knappe Frist sagt alles über den Ernst der Lage.
SO RETTEST DU DEINE UMGEBUNG — in 3 Schritten
Schritt 1 — Patchen: Für die unterstützten Versionen R81.20, R82 und R82.10 stehen Jumbo-Hotfixes bereit. Ältere End-of-Service-Versionen sind ebenfalls verwundbar — hier hilft nur das Upgrade.
Schritt 2 — Zugriff einschränken: Der Angriff funktioniert nur, wenn die Management-IP aus dem Internet erreichbar ist und keine Einschränkung der Trusted Clients existiert. Begrenze die GUI-Clients sofort auf vertrauenswürdige IP-Adressen oder Subnetze und schotte den Management-Zugang per Firewall ab.
Schritt 3 — Spuren suchen: Check Point hat eine Liste von Angreifer-IPs veröffentlicht, mit der du in deinen Logs prüfen kannst, ob deine Umgebung schon Besuch hatte. Wichtig: Auch wer nicht direkt im Internet hängt, sollte patchen — Netzwerk-Beschränkungen reduzieren nur die Angriffsfläche, der verwundbare Code bleibt.
EXTRA-WARNUNG: Zwei weitere Lücken im selben Paket
Die Jumbo-Hotfixes stopfen gleich noch zwei weitere Löcher: CVE-2026-62144 erlaubt es Angreifern ohne Anmeldung, administrative Kommandos auf dem Management-Server auszuführen — und anschließend Befehle auf den verwalteten Gateways. CVE-2026-62145 betrifft das Gaia Portal, die Web-Verwaltung des Check-Point-Betriebssystems: Ein angemeldeter Nutzer mit Nur-Lese-Rechten kann darüber Befehle als Root ausführen — das trifft neben den Management-Servern auch die Firewalls selbst. Für beide sind bislang keine aktiven Angriffe bekannt, gepatcht gehören sie trotzdem. Wie schnell aus geleakten Firewall-Zugängen echte Angriffe werden, hat zuletzt FortiBleed bei Fortinet gezeigt.