Kritiek lek in Check Point Management Server: rootoegang zonder in te loggen

Check Point heeft op 16 september een kritiek beveiligingslek gedicht in de Security Management Server en de Log Server, twee onderdelen waarmee bedrijven hun firewalls en netwerkbeveiliging centraal beheren. Het lek, geregistreerd als CVE-2026-91843, heeft een CVSS-score van 9,8 op een schaal tot 10 en laat een aanvaller zonder geldige inloggegevens code met rootrechten uitvoeren. Dat melden onder meer The Hacker News en beveiligingsonderzoekers van SecurityAffairs, die zich baseren op het beveiligingsadvies dat Check Point zelf publiceerde in zijn CheckMates-community.

Wat er mis is

De fout zit in het inlogproces van de software, het onderdeel dat een aanmeldpoging verwerkt voordat iemand daadwerkelijk is geverifieerd. Door een inlogverzoek te sturen met een extreem lange gebruikersnaam ontstaat een stack overflow, een bekend type programmeerfout waarbij te veel data een vast geheugengebied laat overlopen. Een aanvaller die dat gericht uitbuit, kan daardoor eigen code laten uitvoeren met de hoogste rechten op het systeem, zonder ooit een wachtwoord te hoeven raden of stelen. Voor deze aanval is geen voorafgaande toegang tot het netwerk of een account nodig: alleen een verbinding met de inlogpagina van het beheersysteem volstaat al.

Welke systemen risico lopen

Het lek treft de Security Management Server, de Multi-Domain Security Management Server, de Log Server en de Multi-Domain Log Server van Check Point. Dit zijn geen gewone firewalls, maar de centrale beheersystemen waarmee IT-afdelingen en beveiligingsdienstverleners regels, logs en beleid voor hun hele Check Point-omgeving aansturen. Juist omdat zo'n server overzicht heeft over het hele netwerk, is een inbraak hier extra schadelijk: wie de beheerserver overneemt, kan in potentie ook de firewallregels van alle aangesloten systemen aanpassen.

Patch is beschikbaar, oudere versies krijgen geen fix

Check Point levert de oplossing via zijn LivePatch-mechanisme, in plaats van als losse installatie. Klanten die automatische updates aan hebben staan, zijn volgens de fabrikant al beschermd. Wie dat niet heeft ingeschakeld, moet de fix zelf installeren via de Jumbo Hotfix-versies R82.20 Take 29, R82.10 Take 28, R82 Take 28 of R81.20 Take 28, zoals beschreven in beveiligingsadvies sk1000155. Belangrijk detail: voor de oudere, niet meer ondersteunde versies R81.10, R81 en de R80.x-reeks brengt Check Point geen patch meer uit. Organisaties die nog op zo'n verouderde versie draaien, kunnen het lek alleen verhelpen door te upgraden naar een ondersteunde versie. Op het moment van schrijven is er volgens de geraadpleegde bronnen nog geen bewijs dat het lek al actief wordt misbruikt.

Wat dit voor jouw bedrijf betekent

Veel MKB-bedrijven besteden het beheer van hun firewall en netwerkbeveiliging uit aan een IT-partner, en zullen dus niet zelf een Check Point-beheerserver in beheer hebben. Maar werk je met een externe IT-dienstverlener die Check Point-producten inzet voor jouw netwerk, dan is het de moeite waard om na te vragen of de patch voor CVE-2026-91843 al is doorgevoerd. Voor bedrijven die zelf een Check Point-omgeving beheren, geldt: controleer of automatische updates aanstaan, en installeer anders zo snel mogelijk de genoemde hotfix. Dit soort meldingen komt regelmatig voorbij, en het is precies waarom je bij website-onderhoud en beheer van Infotrends niet alleen naar je website laat kijken, maar ook naar de beveiliging van de systemen eromheen.

Eerder deze maand waarschuwde het Nederlandse NCSC al voor twee andere kritieke lekken in Check Point VPN-software, ook met een CVSS-score van 9,8. Het is het tweede ernstige beveiligingsprobleem bij dezelfde leverancier binnen twee weken tijd, wat laat zien hoe belangrijk het is om beveiligingsadviezen van je netwerkleverancier structureel te volgen in plaats van incidenteel. Meer beveiligingsnieuws voor ondernemers lees je op onze nieuwspagina.

Bronnen: The Hacker News en SecurityAffairs.