チェック・ポイントの管理製品に深刻な脆弱性、管理者権限が奪われる実際の攻撃を検知

要点

• チェック・ポイントのセキュリティ管理製品に、すでに実際のサイバー攻撃で悪用されている脆弱性が発見された。

• 脆弱性「CVE-2026-16232」は管理ツール「SmartConsole」の認証を回避し、最高管理者権限の奪取を許す恐れがある。

• 悪用には、管理サーバーがインターネットに直接公開されているといった特定のネットワーク構成上の条件が必要となる。

• 同アップデートでは、他にもゲートウェイ上でコマンドが実行可能になる脆弱性や、一般ユーザーが最上位権限へ昇格できる脆弱性も修正された。

• 米CISAは本件を「悪用が確認されている脆弱性」リストに追加し、米政府機関に対して迅速な修正対応を指示している。

• チェック・ポイント・ソフトウェア・テクノロジーズ（Check Point Software Technologies）は、同社のセキュリティ管理システムおよび「マルチドメイン・セキュリティ管理（MDSM：複数の管理ドメインを統合する機能）」製品に存在する深刻な脆弱性に対処するため、セキュリティアップデートを公開しました。特に、統合管理用ソフトウェア「SmartConsole」のログインプロセスに存在する認証バイパス（正当な手続きを経ずに認証を回避すること）の脆弱性は、すでに実際のサイバー攻撃で悪用されていることが判明しています。これを受けて米サイバーセキュリティ・インフラセキュリティ庁（CISA）も警告を発しており、対象となる製品のユーザーには迅速な対応が求められています。

管理者権限が完全に奪われる「SmartConsole」の脆弱性

今回最も危険視されている脆弱性は、「CVE-2026-16232」として特定されているものです。これは、同社のセキュリティ設定を管理・運用するための専用ソフトウェアである「SmartConsole」のログインプロセスに起因するもので、脆弱性の深刻度を示すCVSS（共通脆弱性評価システム）の基本値は、最高値に近い「9.3」と極めて高く評価されています。

この問題が攻撃者に悪用された場合、認証されていないリモートの第三者がログイン用のトークン（一時的な認証情報の印）を不正に入手することが可能になります。これにより、本来必要なユーザー名やパスワードの入力をすり抜けて、最高位の管理者権限でシステムにログインできてしまいます。

ログインに成功した攻撃者は、セキュリティポリシー（通信の許可や遮断を設定するルール）を自由に書き換えたり、システム構成を変更したりすることが可能となります。ただし、チェック・ポイントの説明によると、この脆弱性が悪用されるのは特定の構成をとっている環境に限定されます。具体的には、管理サーバーがファイアウォールなどの保護なしでインターネットに直接公開されており、かつ接続可能なクライアントを制限する「Trusted Clients（信頼されたクライアント）」の設定が行われていない場合にのみ、外部からの悪用が可能になります。

確認された一部顧客への標的型攻撃

同社の調査部門のバイスプレジデントを務めるロテム・フィンケルシュタイン（Lotem Finkelstein）氏は、この脆弱性を狙った攻撃について「すでに一部の顧客が標的になっていることを把握しており、該当する顧客には個別に通知を完了している」と説明しました。攻撃の具体的な手法や、いつ発見されたのかなどの詳細は公開されていません。

同社は、警戒を促すために攻撃に関連するIPアドレス（侵害指標：攻撃者の通信元を示すネットワーク情報。IoCとも呼ばれる）を公開しました。公開されたIPアドレスは、151.241.99[.]207、151.241.99[.]233、158.62.198[.]182、192.142.10[.]99、139.28.37[.]250、194.213.18[.]137 の6つです。

同時にパッチが提供された他の2つの深刻な脆弱性

今回のアップデートでは、上記の悪用された脆弱性に加えて、他に2つの重大な問題に対する修正も行われました。

一つ目は「CVE-2026-62144」で、こちらもCVSSスコア「9.3」と極めて深刻です。この脆弱性は、セキュリティ管理システムおよびMDSMに影響するもので、認証を受けていないリモートの攻撃者が管理サーバー上で管理者コマンドを実行できてしまうものです。これにより、システム境界の監視を行う「セキュリティゲートウェイ」上で、任意のスクリプトやコマンドを実行される恐れがあります。この脆弱性も、管理アクセスが適切に保護されていない場合に悪用が可能となります。

二つ目は「CVE-2026-62145」で、CVSSスコアは「7.5」です。これは、機器の設定画面である「Gaia Portal」の権限管理における不備によるものです。この問題が悪用されると、本来はシステム情報を閲覧することしかできない「読み取り専用」の権限を持つユーザーが、システム内で最上位の「root権限」（すべてのシステムリソースを操作できる特権）でコマンドを実行できるようになります。

これらの脆弱性は、R77.30、R80、R80.10、R80.20、R80.30、R81、R81.10、R81.20、R82、R82.10を含む、非常に幅広いバージョンに影響を及ぼします。

推奨される対応策と米政府機関の義務付け

チェック・ポイントは、該当する製品を利用するすべての顧客に対し、2026年7月22日にリリースされた累積修正プログラムである「Jumbo hotfix」の適用を求めています。また、設定による防御策として、管理用アクセスをファイアウォールで保護することや、Trusted Clientsを信頼できる特定のIPアドレスやサブネットのみに厳密に制限することを強く推奨しています。

また、実際の攻撃悪用が確認されたことを受けて、米CISAはこの脆弱性を「悪用が確認されている脆弱性（KEV）」カタログに追加しました。これにより、米国の連邦文民行政機関（FCEB）に対しては、2026年7月25日という非常に短い期限内に必要な修正プログラムの適用や設定変更を完了することが義務付けられています。

企業や組織のセキュリティを統括する管理製品が攻撃者に侵害された場合、そこからネットワーク全体へと被害が拡大するリスクがあります。該当するシステムを運用している管理者は、設定とソフトウェアのバージョンを至急確認することが必要です。