Check Pointの管理ソフトにログイン不要で管理者乗っ取りの脆弱性 CVE-2026-16232、悪用中で即修正を

企業のネットワークを守るファイアウォール（外部からの不正な通信を防ぐ関所）で世界的に使われるCheck Point（チェック・ポイント）の管理ソフトに、ログインなしで最高管理者に成りすませる脆弱性（ソフトの弱点）が見つかりました。CVE-2026-16232で、すでに実際の攻撃に使われていることをCheck Point自身が認めています。米政府機関CISAも、実際に攻撃されている脆弱性のリスト（KEV）に追加しました。

狙われるのは、ファイアウォール群をまとめて設定・管理するための「管理サーバー」です。攻撃者はログイン情報を一切持たなくても、管理用の合鍵（ログイントークン）を外から入手し、それを使って管理者としてログインできてしまいます。成功すると、組織のセキュリティ設定そのものを書き換えられます。つまり、守りの司令塔を乗っ取られる形です。

対象は限定された条件（管理画面がインターネットから届く状態など）ですが、すでに悪用が始まっているため、条件に当てはまる組織は急いで対処すべきです。この記事では、何が起きるのか、自分の環境が対象なのか、今すぐ何をすればよいのかを、専門知識がなくても分かるように整理します。

【2026年8月4日 追記】7月28日、この脆弱性を突く攻撃コードが誰でも入手できる形で公開されました。公開したのはセキュリティ企業Rapid7で、解説だけでなく実際に動くプログラムそのものが付いています。これにより、攻撃の難易度は下がりました。詳しくは記事後半の追記にまとめています。

Check Pointと「SmartConsole」とは何か

Check Pointは、イスラエル発の大手セキュリティ企業です。中心となる製品は、企業ネットワークの出入口に置くファイアウォールで、外部からの攻撃を防いだり、通信のルール（どの通信を通し、どれを止めるか）を管理したりします。国内外の企業・官公庁で広く使われています。

大きな組織では、ファイアウォールは何台も動いています。それらを1か所からまとめて設定・管理する仕組みが「Security Management Server（セキュリティ管理サーバー）」で、管理者はそこに「SmartConsole（スマートコンソール）」という専用ソフトからつないで操作します。今回の弱点は、この管理サーバーとSmartConsoleのログイン処理にありました。ファイアウォール本体（通信を止める部分）ではなく、その設定を握る「管理の中枢」が狙われる点が重要です。

なお、Check Pointでは少し前にも、社外から接続するためのVPN機能に認証回避の弱点が見つかり、ランサムウェア集団に悪用されていたことを取り上げました。今回はそれとは別の製品（管理サーバー側）の、別の脆弱性です。

今回の脆弱性 CVE-2026-16232 の中身

弱点の種類は「認証の回避」（CWE-287）です。本来はIDとパスワードなどで本人確認をしてからでないと管理画面に入れないはずが、その確認をすり抜けられてしまいます。Check Pointの公式告知（sk185169）によると、ログイン情報を持たない外部の攻撃者が「アプリケーション・ログイントークン」と呼ばれる管理用の合鍵を入手し、それを使ってSmartConsoleから最高管理者としてログインできてしまうという内容です。ログインできれば、ファイアウォールのセキュリティポリシー（通信を通す・止めるルール）や各種設定を自由に書き換えられます。

成立には条件があります。Check Pointによれば、管理サーバーのIPアドレスがインターネットから届く状態にあり、かつ「Trusted Clients（管理接続を許可する端末）」の制限がかかっていない（＝どこからでも接続できる設定になっている）ことが必要です。逆に言えば、管理画面を社内やVPN内からしか触れないようにしていれば、外部からの悪用は成立しにくくなります。ただし、これはあくまで悪用のハードルであって、根本的な対処は修正版の適用です。

誰が狙い、何をしてくるのか

CVSSの数字や専門用語だけでは、自分に関係があるのか分かりにくいものです。ここでは「誰が・何のために・どんな被害を出すのか」をかみくだいて説明します。

今回の弱点を狙うのは、インターネットに管理画面をさらしているCheck Pointの管理サーバーを探し回る攻撃者です。Check Pointはすでに「ごく少数の顧客で悪用を確認した」と公表しており、実在の攻撃者が動いている状況です。特定の組織を狙い撃つこともあれば、露出した管理サーバーを機械的に見つけて片端から試すこともあります。

攻撃者がやろうとするのは、ログインなしで管理用の合鍵を奪い、最高管理者としてファイアウォールの防御ルールそのものを書き換えることです。守りの司令塔を握られると、本来なら止まるはずの不正な通信を「通す」設定に変えられたり、監視をすり抜ける抜け道を作られたりします。ファイアウォールは組織の入口を守る要なので、そこを内側から無効化されるのは極めて深刻です。

被害は連鎖します。防御ルールを書き換えられた組織では、そこを足がかりに社内ネットワークへ侵入され、機密データの持ち出しやランサムウェアの展開につながる恐れがあります。実際、Check Point製品の別の認証回避の弱点は、先にランサムウェア集団に悪用されていました。だからこそ、悪用がこれ以上広がる前に、修正版の適用と管理画面の露出遮断を急ぐ必要があります。

自分の環境は対象か、どう確認するか

まず、使っているCheck Pointの管理サーバーのバージョン（系列とJumbo Hotfixの番号）を確認します。下の表のとおり、各系列で修正が入ったJumbo Hotfix（累積修正パック）より前を使っていれば対象です。

次に、悪用されやすい条件に当てはまるかを確認します。管理サーバーの画面がインターネットから届く状態か、「Trusted Clients（管理接続を許可する端末）」が「Any（どこからでも可）」になっていないかの2点です。両方に当てはまるほど危険が高まります。あわせて、すでに悪用されていないかを確かめるには、Check Pointが案内するとおり監査ログ（Audit Logs）で「Authentication method: application token」という認証方法を検索し、身に覚えのないログインがないかを点検してください。使っている製品と既知の弱点を突き合わせて管理する考え方は、使っている部品の弱点を洗い出す仕組みの記事でも整理しています。

今すぐやるべき対処

根本の対処は、該当する系列の修正版（上表のJumbo Hotfix）を適用することです。R82.10ならTake 36以降、R82ならTake 118以降、R81.20ならTake 158以降へ更新します。旧系列（R81.10・R81・R80.x・R77.30）を使っている場合は、サポートされる修正版への移行を検討してください。修正の詳細と入手方法はCheck Pointの公式告知（sk185169）にまとまっています。

すぐに更新できない場合の緩和策として、Check Pointは「Trusted Clients」を特定のIPアドレスやサブネットに限定する（「Any」を避ける）ことを推奨しています。あわせて、管理サーバーの画面をインターネットに直接さらさない、管理接続はVPNや専用回線経由に限る、といった構成で露出を減らせます。ただしこれらは時間稼ぎであり、根本対応はあくまで修正版の適用です。

すでに悪用された可能性がある場合は、監査ログの点検に加え、管理者アカウントの認証情報の入れ替えや、不審な設定変更がないかの確認を行ってください。守りの中枢が対象であるだけに、「入られていないか」を確認する初動が重要です。

実際に悪用されているのか

Check Pointは、この脆弱性が実際の攻撃に使われていることを確認したと公表しています。影響を受けたのは現時点で「ごく少数の顧客」とされていますが、実在の攻撃者が動いている以上、露出した環境はいつ狙われてもおかしくありません。米政府機関CISAも、実際に攻撃されている脆弱性のリスト（KEV）にこのCVEを追加しました。過去にKEVへ載った案件の傾向は、CISA KEVダッシュボード（日本語版）でも継続的に追跡しています。

セキュリティ製品の管理サーバーは、攻撃者にとって「防御を丸ごと無効化できる」高価値の標的です。ファイアウォールを入れているから安全、ではなく、その管理の入口自体を守る必要があります。悪用が広がる前に、修正版の適用と管理画面の露出遮断を急いでください。落ち着いて、しかし後回しにせず対処することが肝心です。

【2026年8月4日 追記】攻撃コードが公開されました

記事の公開後、状況がひとつ変わりました。2026年7月28日、セキュリティ企業のRapid7が、この脆弱性を突く攻撃コードを公開しました。同社は技術解析の記事と同時に、実際に動くプログラムをGitHubに置いています。「こういう理屈で破れる」という説明ではなく、手順を知らない人でも実行できる完成品です。

これが何を意味するか。これまでの攻撃は、脆弱性を自力で見つけて武器にできる技術力のある相手に限られていました。攻撃コードが出回ると、その技術力がなくても同じ攻撃ができるようになります。狙いを定めた少数の攻撃から、インターネット全体を機械的に探して片端から試す攻撃へ ── 過去の同種の案件では、この切り替わりが数日で起きています。

EPSSは、その脆弱性が今後30日以内に実際に攻撃される確率を、公開情報から機械的に推定した数字です。攻撃コードの公開を挟んで、12.7%から70.0%へ跳ね上がりました。全脆弱性の中での位置も、上位95.8%から上位99.35%へ動いています。

やるべきことは記事の前半から変わりません。修正版の適用と、管理画面をインターネットに晒さないことの2点です。変わったのは締切の感覚のほうで、「近いうちに」ではなく「今日中に」の話になりました。

検知の材料も増えています。Rapid7は、管理サーバーの通信を監視している組織向けに、TCP 18190番ポートで「管理サーバー自身の名前を名乗る」不自然な接続要求を探すよう勧めています。既に本文で挙げた監査ログの手がかり（Authentication method: application token）と併せて確認してください。

なお、被害の規模そのものは広がっていません。Check Pointの説明は「ごく少数の顧客」のままで、攻撃者の正体や作戦名の公表もありません。Check Pointのサポート文書（sk185169）も7月22日から更新されておらず、修正版の番号も攻撃元のIPアドレスも当時のままです。増えたのはこれから起きうることの確率であって、既に起きたことの件数ではありません。

ひとつ、混同しやすい情報があります。「Check Pointがランサムウェア集団Qilinに狙われている」という記事が検索で出てきますが、あれは6月に公表された別の脆弱性（VPN側の認証回避）の話で、今回のCVE-2026-16232とは関係ありません。

参照元

• ▸ Check Point - sk185169: CVE-2026-16232 Authentication bypass with SmartConsole login process using application token
• ▸ Rapid7 - Check Point SmartConsole Authentication Bypass: Technical Analysis (CVE-2026-16232)
• ▸ NVD - CVE-2026-16232（Check Point Security Management・認証回避）
• ▸ CIS - Multiple Vulnerabilities in Check Point Products Could Allow for Authentication Bypass
• ▸ CISA - Known Exploited Vulnerabilities Catalog（KEV）