Il 22 settembre 2026 Check Point ha reso pubblica una falla che i suoi stessi ricercatori avevano già visto sfruttata in rete da fine luglio. La CVE-2026-93616, con un punteggio CVSS di 9,8 su 10, colpisce il Security Management Server e permette a un attaccante di eseguire script arbitrari senza alcuna credenziale. Due mesi di silenzio tra il primo attacco osservato e la patch pubblica sono bastati per trasformare un bug di path traversal in uno dei casi più discussi della sicurezza perimetrale europea di questo autunno.
La falla non arriva sola. Lo stesso giorno Check Point ha segnalato anche la CVE-2026-85102, un difetto di convalida dei certificati nel protocollo VPN dei gateway Security Gateway e Spark Firewall, anch’esso con CVSS 9,8. Il 25 settembre 2026 CISA ha imposto a tutte le agenzie federali statunitensi di applicare le patch, una scadenza che oggi, 12 ottobre 2026, è già superata da più di due settimane. Per le aziende italiane che usano infrastrutture Check Point in rete perimetrale, il momento giusto per agire era ieri.
Cosa è emerso: la falla nel cuore della gestione Check Point
Il Security Management Server è il pannello centrale da cui gli amministratori configurano regole, politiche e log di tutta la rete protetta da Check Point. Non è un singolo firewall, ma il cervello che controlla decine o centinaia di gateway in un’organizzazione medio-grande. Quando Check Point Research ha osservato, il 23 luglio 2026, un piccolo numero di tentativi di exploit mirati, ha capito subito la posta in gioco: compromettere quel server significa potenzialmente controllare l’intera postura di sicurezza di un’azienda.
Secondo l’advisory ufficiale pubblicata sul blog di Check Point, la vulnerabilità colpisce il servizio web di gestione e consente a un attaccante non autenticato di far eseguire al servizio uno script partendo da un percorso arbitrario, caricando anche classi Java a piacere. Non serve login, non serve una sessione valida, basta raggiungere il servizio web del server di gestione. Gli esperti di SecurityWeek hanno descritto la falla come un problema di directory traversal e caricamento file, a bassa complessità di attacco, quindi relativamente semplice da automatizzare.
Il dettaglio tecnico della CVE-2026-93616
Tecnicamente la vulnerabilità è classificata come CWE-22, un path traversal classico applicato però a un contesto molto più sensibile del solito. Manipolando i percorsi dei file passati al servizio web, l’attaccante costringe il sistema a eseguire uno script che si trova in una posizione che non dovrebbe essere raggiungibile. Il risultato, secondo la ricostruzione di BleepingComputer, è l’esecuzione di codice con i privilegi del servizio di gestione, un livello di accesso che equivale in pratica al controllo totale della console Check Point.
La catena d’attacco non richiede strumenti sofisticati. Chi raggiunge la porta web del server di gestione, nella configurazione predefinita la porta TCP 19009 dedicata all’interfaccia amministrativa, può tentare l’exploit direttamente da remoto, senza credenziali rubate, senza phishing e senza movimento laterale preventivo. È il tipo di scenario che rende una CVE critica non solo sulla carta ma anche nella pratica: bassa complessità più nessuna autenticazione equivalgono quasi sempre a uno sfruttamento su scala ampia, non appena il codice exploit diventa pubblico.
La timeline: tre mesi tra il primo exploit e la patch pubblica
La cronologia ricostruita dalle fonti disponibili racconta una scoperta lenta. Il 23 luglio 2026 Check Point Research osserva i primi tentativi di exploit, descritti come mirati e in numero limitato. Passano due mesi prima che l’azienda israeliana pubblichi un avviso di sicurezza, il 22 settembre 2026, in cui riconosce lo sfruttamento attivo e distribuisce contestualmente la correzione. Nello stesso avviso, Check Point collega la CVE-2026-93616 anche alla CVE-2026-85102, trattando le due falle come parte di un’unica comunicazione di sicurezza, pur colpendo componenti diversi.
Il giorno successivo, secondo la cronaca di The Hacker News, la notizia si diffonde rapidamente tra i team di sicurezza, che iniziano a confrontare i log dei propri server di gestione per verificare segni di compromissione retroattiva fino a luglio. Il dettaglio pesa: non basta applicare la patch, bisogna anche controllare se l’exploit è già stato usato contro la propria infrastruttura nei due mesi precedenti alla disclosure pubblica.
Quali prodotti e versioni Check Point sono a rischio
L’elenco dei prodotti coinvolti è più ampio di quanto il nome della CVE lasci intuire. Oltre al Security Management Server, Check Point elenca come interessati il Multi-Domain Security Management Server, il Log Server, il Multi-Domain Log Server e SmartEvent, praticamente tutta la famiglia di strumenti di gestione centralizzata e correlazione log dell’azienda. Le versioni coinvolte vanno dalle release ancora supportate, R82, R82.10, R82.20 e R81.20, fino a rami ormai fuori supporto come R80.x e R81, che restano vulnerabili senza alcuna patch ufficiale disponibile.
| Versione | Hotfix Jumbo vulnerabile | Fix disponibile | Stato supporto |
|---|---|---|---|
| R82.20 | Nessun Jumbo Hotfix applicato | R82.20 Security Hotfix | Supportata |
| R82.10 | Take 44 o precedente | Jumbo Hotfix Take 45 | Supportata |
| R82 | Take 126 o precedente | Jumbo Hotfix Take 127 | Supportata |
| R81.20 | Take 166 o precedente | Jumbo Hotfix Take 170 | Supportata |
| R81.10 | Take 190 o precedente | Jumbo Hotfix Take 192 | End-of-support |
| R80, R80.10, R80.20, R80.30, R80.40, R81 | Tutte le build | Nessuna patch ufficiale | End-of-support |
Un dettaglio tecnico rilevante riguarda LivePatch: le build Take 28 e Take 29 del sistema di patch rapida di Check Point non risolvono la CVE-2026-93616. Chi si fida di LivePatch per restare protetto senza riavviare i servizi rischia di considerarsi al sicuro quando in realtà non lo è. Solo l’installazione dei Jumbo Hotfix indicati in tabella, o del Security Hotfix dedicato per R82.20, chiude davvero la falla.
Due CVE, stesso avviso: 93616 contro 85102
Check Point ha scelto di comunicare le due vulnerabilità nello stesso avviso del 22 settembre 2026, ma si tratta di due difetti indipendenti, con superfici d’attacco diverse. La CVE-2026-85102 riguarda il processo di negoziazione VPN sui Security Gateway e sui firewall Spark configurati per VPN site-to-site o accesso remoto: una validazione scorretta del certificato permette a un attaccante remoto non autenticato di eseguire codice arbitrario direttamente sul gateway. La CVE-2026-93616 colpisce invece il livello di gestione, non il traffico VPN.
| Caratteristica | CVE-2026-93616 | CVE-2026-85102 |
|---|---|---|
| Punteggio CVSS | 9,8 | 9,8 |
| Componente colpito | Security Management Server e famiglia gestione/log | Security Gateway e Spark Firewall (VPN) |
| Tipo di vulnerabilità (CWE) | CWE-22, path traversal e upload file | CWE-295, validazione certificato errata |
| Autenticazione richiesta | Nessuna | Nessuna |
| Sfruttamento osservato da | 23 luglio 2026 | Non determinato pubblicamente |
| Pubblicazione CVE | 22 settembre 2026 | 9 settembre 2026 |
| Inserimento in CISA KEV | 22 settembre 2026 | 22 settembre 2026 |
| Scadenza federale KEV | 25 settembre 2026 | 25 settembre 2026 |
| Impatto principale | Esecuzione script sul server di gestione | Esecuzione codice sul gateway VPN |
Le fonti raccolte, incluso l’avviso del centro olandese NCSC, non stabiliscono un legame operativo diretto tra le due campagne di attacco. Vanno quindi trattate come due incidenti separati, finché Check Point, CISA o un’indagine di incident response indipendente non dimostri il contrario. Quello che le unisce è il contesto: entrambe colpiscono prodotti perimetrali della stessa azienda, pubblicati nella stessa finestra temporale, entrambe con CVSS 9,8 ed entrambe già sfruttate prima della disclosure pubblica.
CISA inserisce entrambe nel KEV, la scadenza è già passata
Il 22 settembre 2026 la Cybersecurity and Infrastructure Security Agency statunitense ha aggiunto sia la CVE-2026-93616 sia la CVE-2026-85102 al catalogo Known Exploited Vulnerabilities, il registro delle falle che gli attaccanti stanno già usando attivamente. La scadenza fissata per le agenzie federali statunitensi era il 25 settembre 2026, appena tre giorni dopo l’inserimento. A oggi, 12 ottobre 2026, quella finestra si è chiusa da oltre due settimane, ed entrambe le vulnerabilità risultano ancora catalogate come attivamente sfruttate.
Per le organizzazioni europee il catalogo KEV non è vincolante come lo è per il governo statunitense, ma funziona da indicatore di urgenza per qualsiasi team di sicurezza, Italia compresa. Un’agenzia di cybersicurezza di Singapore, il CSA, ha pubblicato un proprio avviso raccomandando, per chi non può applicare la patch subito, di disabilitare le regole VPN implicite e di limitare le porte UDP 500 e 4500 ai soli indirizzi dei peer conosciuti, una misura tampone pensata per la CVE-2026-85102.
Non solo Check Point: il trimestre nero della sicurezza perimetrale
La finestra di fine settembre 2026 non ha riguardato solo Check Point. Lo stesso aggiornamento del catalogo KEV ha incluso falle critiche in prodotti di altri fornitori di sicurezza perimetrale, segno che il problema non riguarda un singolo vendor ma l’intera categoria dei dispositivi di gateway e gestione aziendale.
| Vendor | CVE | CVSS | Prodotto colpito | Mese di disclosure |
|---|---|---|---|---|
| Check Point | CVE-2026-93616 | 9,8 | Security Management Server | Settembre 2026 |
| Check Point | CVE-2026-85102 | 9,8 | Security Gateway / Spark Firewall (VPN) | Settembre 2026 |
| Arista Networks | CVE-2026-93952 | 10,0 | VeloCloud | Settembre 2026 |
| F5 | CVE-2026-94127 | 9,8 | BIG-IP (zero-day) | Settembre 2026 |
| Cisco | CVE-2026-76504 | 9,8 | SD-WAN Manager | Agosto 2026 |
Cinque falle critiche, quattro vendor diversi, nell’arco di poche settimane tra fine estate e inizio autunno. Per un reparto IT che gestisce perimetro, VPN e sistemi di gestione centralizzata con fornitori diversi, significa aver dovuto pianificare più cicli di patch urgenti in parallelo, proprio nella stagione del rientro dalle vacanze estive, quando gli organici di sicurezza sono spesso ancora ridotti.
Perché un server di gestione è un obiettivo così prezioso
Nella gerarchia delle infrastrutture di sicurezza, un gateway compromesso è un problema serio ma contenibile: di solito protegge un segmento di rete, e isolarlo limita il danno. Un server di gestione compromesso è diverso: controlla le policy di tutti i gateway collegati, può modificare le regole del firewall, disabilitare i log, creare eccezioni invisibili agli amministratori. Chi conquista quel server non attacca un nodo della rete, riscrive le regole del gioco per l’intera infrastruttura.
È per questo che gli esperti di incident response raccomandano, dopo una falla come questa, di non limitarsi alla patch ma di controllare i log del servizio web a partire dal 23 luglio 2026, la data in cui Check Point ha osservato i primi exploit. Script sospetti, classi Java caricate da percorsi inattesi, nuove regole amministrative non riconosciute o connessioni in uscita anomale sono segnali da cercare attivamente, non da aspettare in un log che nessuno controlla.
Il contesto storico: la sicurezza perimetrale sotto assedio
Il 2026 si sta confermando un anno complicato per chi produce dispositivi di sicurezza perimetrale. Firewall, VPN gateway e console di gestione centralizzata sono bersagli ambiti perché, a differenza di un server applicativo qualsiasi, sono progettati per essere raggiungibili da internet e per avere privilegi elevati sulla rete che proteggono. Un bug in questi prodotti vale, per un attaccante, molto più di un bug equivalente in un software interno all’azienda.
Il pattern osservato con Check Point, due CVE critiche comunicate insieme, entrambe già sfruttate prima della patch, inserite lo stesso giorno nel catalogo KEV insieme a falle di altri vendor dello stesso settore, non è un episodio isolato nella storia recente della sicurezza di rete. È la stessa dinamica vista più volte negli ultimi anni con altri produttori di appliance perimetrali: disclosure arrivata settimane o mesi dopo il primo sfruttamento osservato, superficie di attacco ampia perché il prodotto deve restare esposto per funzionare, e una finestra di settimane durante cui chi non applica la patch resta scoperto.
L’impatto sul mercato enterprise e sulla fiducia nei vendor
Le fonti raccolte per questo articolo non riportano un dato verificabile sulla reazione del titolo Check Point Software Technologies in borsa, né un numero ufficiale di installazioni vulnerabili esposte su internet, e per questo non vengono citate cifre non verificate. Quello che si può osservare con certezza è il comportamento dei team di sicurezza: nelle due settimane successive alla disclosure, diversi fornitori di threat intelligence hanno pubblicato avvisi dedicati, segno che la clientela enterprise ha trattato la notizia come prioritaria e non come un bollettino di routine.
Per i responsabili IT italiani che si affidano a Check Point per proteggere data center, filiali o infrastrutture critiche, l’episodio rafforza un punto che il settore ripete da anni senza che le aziende riescano sempre ad applicarlo: la console di gestione non va mai esposta direttamente su internet, va isolata dietro un ulteriore livello di accesso controllato, perché chi ha già segmentato l’accesso perde molto meno tempo a reagire quando emerge un bug come questo.
Come mitigare subito il rischio
Chi gestisce un ambiente Check Point dovrebbe muoversi su più fronti in parallelo, non in sequenza. Primo: applicare la patch corrispondente alla propria versione, elencata nella tabella sopra. Secondo: se l’aggiornamento immediato non è possibile, isolare l’accesso alla porta amministrativa restringendolo ai soli indirizzi IP fidati, come nell’esempio seguente.
# Esempio: limitare l'accesso alla porta di gestione Check Point (19009)
# ai soli indirizzi IP amministrativi fidati
iptables -A INPUT -p tcp --dport 19009 -s 10.0.0.0/24 -j ACCEPT
iptables -A INPUT -p tcp --dport 19009 -j DROPTerzo, e più urgente: analizzare retroattivamente i log del servizio di gestione a partire dal 23 luglio 2026, cercando script non riconosciuti, classi Java caricate da percorsi insoliti o modifiche alle policy non tracciate da un amministratore noto. Quarto, per chi usa anche VPN Check Point: seguire le indicazioni del CSA di Singapore e restringere le porte UDP 500 e 4500 ai soli peer conosciuti fino al completamento della patch.
Cosa cambia per le aziende italiane ed europee
L’Italia non compare tra le fonti raccolte con un conteggio ufficiale di installazioni Check Point vulnerabili, e qualsiasi cifra in questo senso andrebbe considerata non verificata. Quello che si può dire con certezza è che Check Point resta uno dei fornitori di sicurezza di rete più diffusi nelle medie e grandi imprese europee, e che una vulnerabilità come questa, con sfruttamento già in corso prima della disclosure, mette sotto pressione in particolare i settori regolamentati, dalla finanza alla sanità, dove un server di gestione compromesso può sfociare in una violazione di dati soggetta a notifica obbligatoria secondo il GDPR.
Le autorità nazionali di cybersicurezza nei Paesi Bassi e a Singapore hanno già pubblicato avvisi dedicati. In Italia, i canali di allerta nazionali seguono tipicamente lo stesso calendario delle fonti internazionali per questo tipo di falle, e le aziende che usano Check Point dovrebbero considerare l’assenza di un bollettino locale non come un segnale di minore urgenza, ma come un semplice ritardo nella propagazione dell’informazione.
Previsioni: cosa aspettarsi nei prossimi mesi
- Nelle prossime settimane è probabile la pubblicazione di un exploit proof-of-concept pubblico per la CVE-2026-93616, dato il basso livello di complessità descritto dai ricercatori: questo accelererebbe lo sfruttamento su scala più ampia.
- I gruppi ransomware che già usano l’accesso a dispositivi perimetrali come vettore di ingresso iniziale potrebbero integrare questa CVE nei propri kit di exploit entro fine 2026, seguendo lo schema già visto con altre falle su gateway aziendali.
- È probabile che emergano nuove revisioni dell’advisory Check Point, man mano che vengono identificati ulteriori scenari di sfruttamento o versioni aggiuntive coinvolte, come già suggerito dall’aggiornamento dei metadati dell’advisory registrato l’11 ottobre 2026.
- Altri vendor di sicurezza perimetrale pubblicheranno probabilmente advisory simili nei prossimi mesi, confermando il trend 2026 di falle critiche concentrate su dispositivi di gateway e gestione centralizzata.
- È probabile una pressione regolatoria crescente in Europa, con richieste ai fornitori di sicurezza di accorciare il tempo tra la scoperta di uno sfruttamento attivo e la disclosure pubblica, oggi fissato in due mesi in questo caso specifico.
La conclusione: il prezzo della superficie di gestione esposta
Il caso Check Point CVE-2026-93616 racconta una lezione semplice da scrivere e difficile da applicare: i sistemi che amministrano la sicurezza sono essi stessi un bersaglio di prima scelta, non una retrovia protetta per definizione. Due mesi tra il primo exploit osservato e la patch pubblica, un CVSS di 9,8, nessuna autenticazione richiesta e un catalogo KEV con una scadenza già superata da due settimane: sono gli ingredienti di un incidente che meritava attenzione immediata, non un bollettino da archiviare.
Per chi gestisce infrastrutture Check Point in Italia e in Europa, la priorità resta quella indicata da ogni fonte raccolta per questo articolo: applicare la patch, isolare l’accesso amministrativo, controllare i log fino a luglio, e non considerare la scadenza del 25 settembre come acquisita solo perché è passata.
Domande frequenti
Cos’è la CVE-2026-93616?
È una vulnerabilità critica, con CVSS 9,8, nel Security Management Server di Check Point. Si tratta di un path traversal che permette a un attaccante senza credenziali di eseguire script arbitrari sul server di gestione.
Da quando viene sfruttata la falla?
Check Point Research ha osservato i primi tentativi di exploit mirati il 23 luglio 2026, circa due mesi prima della disclosure pubblica avvenuta il 22 settembre 2026.
Quali prodotti Check Point sono interessati?
Security Management Server, Multi-Domain Security Management Server, Log Server, Multi-Domain Log Server e SmartEvent, nelle versioni elencate nella tabella di questo articolo.
La CVE-2026-93616 è collegata alla CVE-2026-85102?
Sono state comunicate nello stesso avviso del 22 settembre 2026 e condividono lo stesso punteggio CVSS, ma colpiscono componenti diversi, gestione contro VPN gateway, e le fonti disponibili non dimostrano un collegamento operativo diretto tra le due campagne di attacco.
LivePatch risolve il problema?
No. Check Point specifica che le build LivePatch Take 28 e Take 29 non correggono la CVE-2026-93616. Serve applicare il Jumbo Hotfix o il Security Hotfix indicato per la propria versione.
Qual era la scadenza fissata da CISA?
CISA ha inserito entrambe le vulnerabilità nel catalogo KEV il 22 settembre 2026, con una scadenza di remediation per le agenzie federali statunitensi fissata al 25 settembre 2026, già superata alla data di pubblicazione di questo articolo.
Cosa deve fare subito un’azienda che usa Check Point?
Applicare la patch corrispondente alla propria versione, isolare l’accesso alla porta amministrativa 19009, e controllare retroattivamente i log del server di gestione a partire da luglio 2026 per individuare eventuali segni di compromissione già avvenuta.
