Check PointがSmartConsoleのゼロデイ脆弱性（CVE-2026-16232）を修正|セキュリティニュースのセキュリティ対策Lab

投稿日時: 2026年07月27日更新日時: 2026年07月27日

Check Point Software Technologiesは2026年7月22日、セキュリティ管理GUI（管理コンソール）であるSmartConsoleに存在するゼロデイ脆弱性（CVE-2026-16232）のアドバイザリを公開しました。この脆弱性は、未認証の攻撃者がアプリケーションログイントークンを不正に取得し、フル管理者権限でSmartConsoleにログインできるという認証バイパスです。成功すれば、攻撃者はセキュリティポリシーとセキュリティ設定を変更できます。Check Pointは「この脆弱性が悪用されており、ごく少数の顧客が影響を受けている」と明示しており、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）は7月22日にKEV（既知の悪用された脆弱性）カタログへの追加を発表、Binding Operational Directive（BOD）26-04に基づいて米国連邦機関に7月25日までのパッチ適用を義務付けました。

サマリー

CVE-2026-16232は、Check Point Security Management Server（SMS）およびMulti-Domain Security Management Server（MDS）のSmartConsoleに存在する認証バイパスのゼロデイ脆弱性
未認証の攻撃者がアプリケーションログイントークンを取得し、フル管理者権限でSmartConsoleにログインできる
悪用条件：Management Server IPへのインターネットアクセスが可能、かつTrusted Clients（GUIクライアント）に制限がない設定
R77.30〜R82.10の広範なバージョンが影響を受ける（EOS版含む）
修正版：R82.10はJumbo HFA Take 36以降、R82はTake 118以降、R81.20はTake 158以降
IoCの確認方法が公式アドバイザリで提供されており、5つの攻撃者IPと「Authentication method: application token」の検索で侵害の有無を確認可能
CISAがKEV追加、米連邦機関は7月25日（土）までにパッチ適用が必須
2026年6月にはCheck Point Remote Access VPN（CVE-2026-50751、CVSS 9.3）もQilinランサムウェアに悪用されており、Check Point製品を標的とした認証バイパス攻撃が継続している

項目	内容
CVE番号	CVE-2026-16232
製品	Security Management Server（SMS）、Multi-Domain Security Management Server（MDS）
脆弱性の種類	認証バイパス（アプリケーションログイントークンを不正取得）
深刻度	High（Check Point評価）
悪用	実際の攻撃が確認済み（ごく少数の顧客が影響）
影響バージョン	R77.30〜R82.10（R77.30〜R81.10はEOS）
修正バージョン	R82.10 Jumbo HFA Take 36〜、R82 Take 118〜、R81.20 Take 158〜
CISAのKEV追加日	2026年7月22日
連邦機関の対応期限	2026年7月25日（BOD 26-04）
ワークアラウンド	Trusted Clientsのアクセス制限、ファイアウォールによるManagement Server保護
アドバイザリ番号	sk185169

SmartConsoleとは何か―セキュリティ管理の要となる管理インターフェース

SmartConsoleはCheck Point Quantum製品群（ファイアウォール、VPNゲートウェイなど）のセキュリティ設定・ポリシーを一元管理するGUIアドミンパネルです。Security Management Serverまたは Multi-Domain Security Management Server（MDS）と通信し、ファイアウォールルール、NAT設定、VPN設定、脅威防御ポリシー、ログの確認といった組織のセキュリティ構成全体を管理します。

ネットワークエンジニアとして複数のセキュリティ製品の運用に携わった経験から言えば、ファイアウォール管理コンソールへの不正アクセスは、個々の脆弱性の悪用よりもはるかに広い被害をもたらすリスクを持っています。管理コンソールに管理者権限でアクセスできれば、攻撃者は既存のファイアウォールルールを無効化し、通信をすべて許可するよう書き換えることができるためです。CVE-2026-16232はまさにそのシナリオを実現する脆弱性であり、セキュリティ機器そのものの防御機能を正面から破壊する手段になります。

脆弱性の詳細―認証不要でAdmin権限トークンを取得

Check Pointの公式アドバイザリ（sk185169）によると、CVE-2026-16232はSmartConsoleのログインプロセスにおけるアプリケーショントークンを悪用した認証バイパスです。

未認証の攻撃者は、本来は認証後にのみ利用できるアプリケーションログイントークンを何らかの方法で取得し、これを使ってフル管理者権限でSmartConsoleにログインできます。認証に成功した攻撃者は、Security Management Serverに直接アクセスし、セキュリティポリシーとセキュリティ設定を変更する権限を得ます。

影響を受けるバージョンは非常に広範です。R77.30、R80、R80.10、R80.20、R80.30、R81、R81.10、R81.20、R82、R82.10がいずれも対象です。このうちR77.30からR81.10は既にサポートが終了（End of Support / EOS）しており、パッチの提供対象はR81.20、R82、R82.10の3系統に限られます。EOS版を使用している場合、そのままではパッチを受け取れないため、バージョンアップが急務です。

悪用条件―インターネット公開とTrusted Clients無制限の組み合わせ

Check Pointのアドバイザリが明示している悪用条件は次の2点です。Management Server IPへのインターネットアクセスが可能であること、かつTrusted Clients（GUIクライアント）の制限が設定されていないこと（「Any」が許可されている状態）です。

この2条件が重要な意味を持ちます。Management ServerをファイアウォールやVPNの背後に配置し、インターネットから直接到達できない構成にしてある組織、またはTrusted Clientsを特定のIPアドレスやサブネットに制限してある組織は、この脆弱性の遠隔悪用リスクが大幅に低減されます。逆に、運用の利便性を優先してManagement ServerをインターネットにDirect公開しており、かつTrusted Clientsを「Any」に設定している環境は、今すぐに設定変更が必要な状態です。

Check Pointは「ごく少数の顧客が影響を受けている」とコメントしていますが、これは発見時点の確認数であり、パッチ適用前に攻撃が拡大する可能性は排除できません。

侵害確認の方法―5つの攻撃者IPとAudit Logsの確認

アドバイザリにはIoC（侵害の指標）と確認手順が具体的に提供されています。

まず、SmartConsoleの「Logs & Monitor / Logs & Events」を開き、以下の既知の攻撃者IPアドレスを送信元（src）または宛先（dst）として検索します。

(src:151.241.99.207 OR dst:151.241.99.207 OR src:151.241.99.233 OR dst:151.241.99.233 OR src:158.62.198.182 OR dst:158.62.198.182 OR src:192.142.10.99 OR dst:192.142.10.99 OR src:139.28.37.250 OR dst:139.28.37.250)

次に、SmartConsoleの「Logs & Monitor / Logs & Events」>「Audit Logs View」で「Authentication method: application token」というクエリを検索します。このログエントリが存在する場合、アプリケーショントークンを使ったログインが行われたことを示し、不正アクセスの可能性があります。

CISAは「この種の脆弱性は悪意あるサイバー攻撃者にとって頻繁な攻撃ベクターであり、連邦エンタープライズに対して重大なリスクをもたらす」と警告しています。

修正バージョンと暫定対策

Check Pointが提供している修正バージョンとワークアラウンドは以下の通りです。

修正版として提供されるのはJumbo Hotfix Accumulator（HFA）です。R82.10ではTake 36以降、R82ではTake 118以降、R81.20ではTake 158以降に修正が含まれています。

すぐにアップグレードできない場合の暫定的な緩和策として3点が示されています。まず、Check PointのHardening Best Practices Guideに従った設定強化を実施します。次に、Trusted ClientsをTrusted IPアドレス・サブネットに制限し、「Any」という設定を排除します（SmartConsoleの「Manage & Settings」>「Permissions & Administrators」>「Trusted Clients」から変更可能）。そして、ファイアウォールでManagement ServerへのアクセスをTrustedなIPアドレスに制限し、未認可のIPからの管理アクセスをブロックします。

CISAによるKEV追加とBOD 26-04への対応期限

CISAは2026年7月22日、CVE-2026-16232をKEVカタログに追加するとともに、Binding Operational Directive（BOD）26-04に基づき、連邦民間行政機関（FCEB）に対して7月25日（土）までのパッチ適用を義務付けました。

BOD 26-04はUS連邦機関にのみ直接適用されますが、CISAはすべての組織に対してCVE-2026-16232のパッチ適用を優先事項とするよう強く勧告しています。政府機関を超えたCISAの勧告は、一般企業・インフラ事業者においても同様の対応を求める実質的なシグナルとして機能します。

Check Pointを標的にした認証バイパス攻撃の継続性

今回のCVE-2026-16232は、Check Point製品に対する認証バイパス攻撃が継続・拡大しているという文脈で理解する必要があります。

2026年6月には、Check PointのRemote Access VPNおよびMobile Accessに存在するCVE-2026-50751（CVSS 9.3）が公表され、同脆弱性を悪用した攻撃が少なくとも2026年5月7日から行われていたことが確認されています。CISAはこちらも同月中にKEVカタログへ追加し、Qilinランサムウェアグループがこの脆弱性を悪用して攻撃を展開したことをCheck Pointが確認しています。

さらに遡れば2024年には、Check PointのQuantum Security GatewaysにCVE-2024-24919という脆弱性が発見され、NailaoLockerランサムウェアと関連する攻撃者に悪用された事例も確認されています。

この一連の経緯は、境界防御を担うファイアウォールやVPN製品のセキュリティ管理インフラそのものが高価値の標的となっていることを示しています。CISAがサポート終了済みのルーターやファイアウォールの排除を命じた指令が示すように、EOSバージョンの継続使用はパッチを受け取れないリスクを常に抱えることになります。今回の影響バージョンにEOS版が多数含まれている点は、EOSのセキュリティ機器が実環境にどれほど残存しているかを示す実例です。