Qué sistemas están afectados

INCIBE informó el 23 de septiembre de CVE-2026-93616, un fallo crítico de path traversal y carga de archivos que permite ejecutar scripts sin autenticación en servidores de administración de Check Point. El fabricante confirma explotación contra un número reducido de clientes.

El alcance incluye Security Management, Multi-Domain Security Management, Log Server, Multi-Domain Log Server y SmartEvent. No es el mismo aviso que los fallos de VPN publicados a principios de septiembre.

Corrección por rama

El aviso indica:

  • R82.20: Security Hotfix del fabricante.
  • R82.10: Jumbo Hotfix Take 45 o posterior.
  • R82: Take 127 o posterior.
  • R81.20: Take 170 o posterior.
  • R81.10: Take 192 o posterior, con atención a su estado de soporte.

Las ramas antiguas sin soporte deben migrarse. INCIBE recomienda además limitar TCP/19009 a direcciones de confianza.

Análisis de Defensops: proteger el plano de administración

Nuestra recomendación es revisar la administración de seguridad como una superficie propia, separada de los gateways que protege. Tener un cortafuegos actualizado no permite concluir que su servidor de gestión también lo esté. Inventario, accesibilidad y versión deben comprobarse por componente.

Proponemos organizar la revisión en cuatro bloques:

  1. Identificar servidores, roles, rama y nivel de hotfix, con un responsable para cada sistema.
  2. Verificar quién puede alcanzar sus servicios de administración y qué restricciones existen realmente.
  3. Conservar configuración y registros necesarios, aplicar la corrección y comprobar las funciones utilizadas.
  4. Revisar cambios de políticas, cuentas y actividad administrativa frente a tickets y operaciones autorizadas.

La restricción de acceso debe diseñarse considerando los sistemas que dependen de la gestión y del registro. Una medida improvisada puede dejar equipos sin administración o romper la recepción de información. Recomendamos probar los flujos permitidos y dejar documentadas las excepciones temporales.

Si hay modificaciones no explicadas o archivos sospechosos, conviene investigar su origen antes de borrarlos. Recuperar el servicio y comprender un posible compromiso son objetivos relacionados, pero diferentes. La evidencia disponible debe guiar cualquier revisión de credenciales, cambios de confianza o restauración.

La explotación en otros clientes no demuestra que el entorno propio haya sido atacado. Tampoco es razonable cerrar el riesgo únicamente porque no haya alertas: primero hay que saber qué registros existen y qué periodo cubren.

Fuentes y fecha

INCIBE: aviso del 23 de septiembre de 2026. Referencia de Check Point. Revisión editorial: 27 de septiembre. Las recomendaciones operativas son análisis propio de Defensops.