Erst patchen, dann warnen — bei CVE-2026-93616 hat Check Point keine andere Wahl gehabt. Die Sicherheitsfirma veröffentlichte am 22. September 2026 gleichzeitig den Notfall-Patch und die Warnung: Die Lücke im Management-Server, dem zentralen Verwaltungsrechner für ganze Firewall-Landschaften, wurde bereits in gezielten Angriffen am 23. Juli ausgenutzt — also fast zwei Monate, bevor Kunden überhaupt von dem Problem erfuhren.
DER FEHLER: Der Server liest den Pfad falsch
CVE-2026-93616 ist eine Pfad-Traversal-Lücke im Webdienst des Security-Management-Servers: Die Software prüft nicht sauber genug, welche Dateien und Ordner eine Anfrage tatsächlich erreichen darf. Ein Angreifer kann dadurch ohne jede Anmeldung ein Skript aus einem beliebigen Pfad ausführen lassen und eine beliebige Java-Klasse nachladen — praktisch ein direkter Weg zur Codeausführung auf der Maschine, die deine komplette Firewall-Flotte steuert. Bewertung: CVSS 9,8, höher geht kaum.
BETROFFEN: Nicht nur ein Produkt
Die Lücke trifft nicht nur einzelne Gateways, sondern die zentrale Schaltstelle: Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server und SmartEvent. Betroffen sind Versionen von R80 bis R82.20, je nach Version mit unterschiedlichem Jumbo-Hotfix-Stand. Wer eine dieser Komponenten aus dem Internet erreichbar betreibt — was bei Management-Servern eigentlich nie der Fall sein sollte, in der Praxis aber vorkommt —, ist besonders gefährdet.
ZWEITER ALARM: Die Vorab-Warnung von letzter Woche wird jetzt wahr
Im selben Advisory bestätigt Check Point noch etwas anderes: CVE-2026-85102, die VPN-Zertifikatslücke, über die wir am 14. September berichtet hatten, wird jetzt tatsächlich aktiv ausgenutzt. Damals hatte das niederländische NCSC nur präventiv gewarnt, ein öffentlicher Exploit war nicht bekannt. Seit dem 12. September laufen laut Check Point nun echte Angriffswellen gegen Spark-Firewall-Kunden, ausgehend von Anonymisierungs-Infrastruktur wie VPN-Diensten und Proxys. Aus der Vorab-Warnung ist damit eine bestätigte Attacke geworden — zwei Baustellen gleichzeitig für Check-Point-Admins.
SO PATCHST DU RICHTIG
Check Point liefert die Korrektur für CVE-2026-93616 über sk1000171, für CVE-2026-85102 gilt weiterhin sk1000117. Die Reihenfolge ist wichtig: Zuerst den Management-Server patchen, weil er das lohnendere Ziel ist und im Ernstfall den Zugriff auf sämtliche verwalteten Gateways freigibt, danach die einzelnen Gateways selbst. Anschließend lohnt ein Blick in die Logs — neu angelegte Admin-Konten und Änderungen am Regelwerk, die niemand aus dem eigenen Team vorgenommen hat, sind die verräterischsten Spuren eines bereits erfolgreichen Einbruchs. Ein Patch allein zeigt nämlich nicht, ob vor dem Update schon jemand drin war.