Check Point SmartConsole ข้ามล็อกอิน CVE-2026-16232
ผู้ดูแลระบบ Check Point Management ที่ได้รับผลกระทบต้องจำกัดการเข้าถึงและติดตั้งแพตช์เร่งด่วน เพราะมีการโจมตีจริงแล้ว
1-minute summary
- Symptom / problem
- ผู้โจมตีที่ยังไม่ล็อกอินอาจรับโทเคนแล้วเข้าสู่ระบบด้วยสิทธิ์ผู้ดูแลเต็มรูปแบบ
- Who should read
- ผู้ดูแลระบบ Quantum Security Management และ Multi-Domain Security Management ในรุ่นที่ได้รับผลกระทบ
- Fix in short
- ติดตั้ง Jumbo Hotfix ที่แก้ CVE นี้ตามสายรุ่น พร้อมจำกัด Trusted Clients และตรวจสอบร่องรอยการบุกรุก
พอดีไล่ฟีด CISA KEV เจอช่องโหว่ Check Point SmartConsole หมายเลข CVE-2026-16232 ซึ่งถูกเพิ่มเข้าบัญชีวันที่ 22 กรกฎาคม 2026 ประเด็นนี้มีการโจมตีจริงแล้ว ผู้โจมตีที่ยังไม่ผ่านการยืนยันตัวตนอาจได้โทเคนสำหรับล็อกอิน แล้วนำไปเข้าสู่ระบบด้วยสิทธิ์ผู้ดูแลเต็มรูปแบบ ทาง Check Point ยืนยันว่าพบผู้ได้รับผลกระทบจำนวนเล็กน้อยตามระเบียน CVE ที่ผู้ผลิตให้ข้อมูล
ใครต้องทำอะไร
- ผู้ดูแลระบบ: หากดูแล Check Point Management รุ่นที่ได้รับผลกระทบ ให้จำกัดเครื่องที่เชื่อมต่อเข้าจัดการและติดตั้งแพตช์เร่งด่วน โดยให้ความสำคัญกับเครื่องที่เข้าถึงจากอินเทอร์เน็ตได้ก่อน
เกิดอะไรขึ้น
ปัญหาอยู่ในขั้นตอนล็อกอิน SmartConsole ที่ใช้ application token ระบบตรวจตัวตนผิดพลาด คนที่ยังไม่ได้ล็อกอินเลยรับโทเคนแล้วเข้าสู่ระบบด้วยสิทธิ์ผู้ดูแลได้ ผู้โจมตีสามารถเปลี่ยนนโยบายและค่าความปลอดภัยของระบบ ผู้ผลิตจัดเป็น Critical ด้วยคะแนน CVSS 4.0 ที่ 9.3 ตามข้อมูล CNA ในระเบียน CVE
เงื่อนไขการโจมตีจากระยะไกลที่ผู้ผลิตระบุคือ เข้าถึง IP ของ Management Server ผ่านอินเทอร์เน็ตได้ และไม่ได้จำกัด Trusted Clients ซึ่งเป็นรายการเครื่องที่อนุญาตให้เชื่อมต่อผ่าน GUI ให้เช็กข้อจำกัดการเข้าถึงพร้อมกับรุ่นแพตช์ เพราะส่วนบริหารนี้ใช้เปลี่ยนนโยบายความปลอดภัยได้ ตามประกาศความปลอดภัยของ Check Point
ใครโดนและรุ่นที่แก้
ผลิตภัณฑ์ที่ระบุใน CVE คือ Quantum Security Management และ Multi-Domain Security Management โดยมี R82.10, R82, R81.20, R81.10 รวมถึง R81, R80.30, R80.20, R80.10, R80 และ R77.30 อยู่ในรายการที่ได้รับผลกระทบ ตารางด้านล่างแสดง Jumbo Hotfix ที่เอกสารผู้ผลิตระบุว่าแก้ CVE นี้ รวมแพตช์ R81.10 ที่เผยแพร่ภายหลังวันประกาศ
| สายรุ่นของ Management | Jumbo Hotfix ที่ระบุว่าแก้แล้ว |
|---|---|
| R82.10 | Take 36 เผยแพร่ 22 ก.ค. 2026 |
| R82 | Take 118 เผยแพร่ 22 ก.ค. 2026 |
| R81.20 | Take 158 เผยแพร่ 22 ก.ค. 2026 |
| R81.10 | Take 190 เผยแพร่ 14 ก.ย. 2026 |
| R81, R80.30, R80.20, R80.10, R80, R77.30 | ระเบียน CVE ไม่ให้รุ่นแก้ ต้องตรวจแนวทางกับ Check Point Support |
ข้อมูลผู้ผลิตสองแหล่งไม่ตรงกัน ระเบียน CVE นับ Take 36, 118 และ 158 “หรือต่ำกว่า” เป็นรุ่นที่มีช่องโหว่ แต่ release notes ระบุว่า Take เดียวกันแก้แล้ว ให้ยืนยันแพ็กเกจตามสายรุ่นผ่าน sk185169 หรือฝ่ายสนับสนุนก่อนปิดงานแพตช์ และตรวจเลข Take ที่ติดตั้งจริงด้วย
ต้องทำอะไร
ให้จำกัด Trusted Clients เหลือเฉพาะ IP หรือ subnet ที่เชื่อถือได้ ใช้ไฟร์วอลล์ควบคุมทางเข้าจัดการ และตรวจว่า implied rules สำหรับ control connections เปิดใช้งานตามคำแนะนำผู้ผลิต จากนั้นติดตั้ง Jumbo Hotfix ที่แก้ปัญหาตรงกับสายรุ่นของ Management Server ขั้นตอนลดความเสี่ยงเหล่านี้กับการติดตั้งแพตช์อยู่ในประกาศ Check Point
ฝั่ง CISA กำหนดวันแก้ไขใน KEV เป็น 25 กรกฎาคม 2026 และระบุให้ทำตามคำแนะนำผู้ผลิต รวมทั้งแนวทางตรวจคัดกรองหลักฐานการบุกรุก รายการนี้มีสถานะ forensic triage เป็น Yes ผู้ดูแลควรตรวจการเข้าถึงส่วนบริหารและการเปลี่ยนนโยบายที่ผิดปกติร่วมกับการแพตช์ ตามข้อมูล KEV ทางการของ CISA
ส่วนตัวผมมองว่ารายการนี้ต้องจัดเป็นงานแพตช์เร่งด่วน เพราะถูกโจมตีจริงและให้สิทธิ์เปลี่ยนนโยบายความปลอดภัยได้ ที่มา: CISA KEV — Check Point SmartConsole Improper Authentication Vulnerability, CVE-2026-16232 และ Check Point sk185169 หากมีรายละเอียดจากผู้ผลิตเพิ่มเติม เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
Want us to set this up?
Get help with server setup, configuration, migration, or troubleshooting. Save time for the work that matters.
Hit something like this? Stuck somewhere?
Come trade notes on the LinuxThai board
Comments 0
No comments yet — be the first