Impatto Sistemico

Critico (78.46)

Sintesi

Disponibili hotfix e misure di mitigazione per Check Point Firewall, Cloud Firewall, Security Gateway e Spark Firewall al fine di fronteggiare le vulnerabilità critiche note come “PHP2Shell” ( CVE-2026-109618 e CVE-2026-109619 ), che interessano il componente PHP utilizzato dalle interfacce web di alcuni servizi esposti dai dispositivi.

Tipologia

• Remote Code Execution

Descrizione e potenziali impatti

Facendo seguito alle precedenti comunicazioni relative alle vulnerabilità critiche “PHP2Shell” ( AL07/261021/CSIRT-ITA , AL01/261025/CSIRT-ITA e AL10/261028/CSIRT-ITA ), si evidenzia che Check Point ha pubblicato un bollettino di sicurezza riguardante l’impatto di tali vulnerabilità sui propri prodotti Firewall, Cloud Firewall, Security Gateway e Spark Firewall.

Secondo quanto comunicato dal vendor, risultano interessati i prodotti Check Point che utilizzano una o più delle seguenti funzionalità:

• Mobile Access Portal (non applicabile ai dispositivi Spark Firewall)
• Remote Access VPN con SSL Network Extender (non applicabile ai dispositivi Spark Firewall)
• Remote Access VPN con autenticazione SAML Realm abilitata
• Identity Awareness Captive Portal abilitato
• UserCheck Portal
• Zero Phishing

Poiché le vulnerabilità CVE-2026-109618 e CVE-2026-109619 interessano il runtime PHP integrato nei prodotti affetti, un eventuale sfruttamento potrebbe consentire ad un attaccante remoto non autenticato di eseguire codice arbitrario sui firewall vulnerabili attraverso richieste opportunamente predisposte verso le interfacce web esposte.

Check Point ha precisato che i prodotti Security Management Server e Log Server non risultano vulnerabili, così come i servizi Check Point Portal e SaaS, già opportunamente aggiornati. Il vendor ha inoltre dichiarato che i propri prodotti non risultano affetti dalla vulnerabilità CVE-2026-115560.

Alla luce dell’elevato impatto associato alle vulnerabilità e della disponibilità pubblica di informazioni tecniche sul loro sfruttamento, si raccomanda di procedere con tempestività all’applicazione delle correzioni rilasciate dal vendor e all’implementazione delle misure di mitigazione suggerite nel relativo bollettino di sicurezza riportato nella sezione Riferimenti.

Prodotti e/o versioni affette

Check Point Firewall, Cloud Firewall e Security Gateway

• R81.20
• R82
• R82.10
• R82.20
• R80 (EoS)
• R80.10 (EoS)
• R80.20 (EoS)
• R80.30 (EoS)
• R80.40 (EoS)
• R81 (EoS)
• R81.10 (EoS)

Spark Firewalls

• R81.10.x
• R82.00.x
• R77.20.x (EoS)
• R80.20.x (EoS)

N.B. Si evidenzia che per le versioni dei prodotti non più supportate (EoS) il vendor potrebbe non rilasciare alcun hotfix.

Azioni di mitigazione

In linea con le indicazioni del vendor, si raccomanda di:

• installare tempestivamente l’hotfix corrispondente alla versione del prodotto in uso su tutti i sistemi interessati; qualora siano state precedentemente implementate le misure di mitigazione manuale fornite dal vendor alla sezione “Mitigation” nel relativo bollettino di sicurezza, rimuovere preventivamente le modifiche apportate al file di configurazione $CPDIR/web/Apache/conf/cp-httpd.conf ;
• effettuare il riavvio dell’apparato al termine dell’installazione dell’hotfix;
• qualora non sia possibile procedere immediatamente all’aggiornamento, adottare sui sistemi interessati le misure di mitigazione temporanee fornite dal vendor alla sezione “Mitigation” ;
• i sistemi R82.20 implementano una protezione integrata basata sulla IPS “PHP Remote Code Execution” , che il vendor indica come efficace anche in assenza di HTTPS Inspection e senza l’abilitazione esplicita del modulo IPS ; tale misura non sostituisce comunque l’applicazione degli hotfix rilasciati dal vendor.