Atacantes ficaram dois meses dentro do 'cérebro' do firewall da Check Point. A ação subiu.

O grep que revela que julho aconteceu

Em algum lugar, nesta semana, um administrador vai rodar um grep de uma única linha nos logs da máquina que escreve as políticas de firewall de toda a empresa. O comunicado da Check Point pede exatamente isso: a busca por nomes de login excessivamente longos↗ é a maneira de saber se a CVE-2026-93616 — uma vulnerabilidade de path traversal pré-autenticação com nota 9,8 em 10 — permitiu que um estranho executasse scripts no Management Server sem senha ¹. "Não é preciso quebrar o firewall quando se pode dizer a ele o que permitir", afirma Aaron Beardslee, gerente de pesquisa de ameaças na Securonix↗ ².

Os atacantes mantiveram essa posição de 23 de julho até a correção em 22 de setembro↗ ¹³. Na mesma semana, a ação cruzou sua média de 200 dias↗ ⁴.

Dois meses de silêncio, depois três dias de lei

A CISA incluiu as duas falhas da Check Point, ambas com nota 9,8, em um único lote de Vulnerabilidades Conhecidas Exploradas em 22 de setembro, dando às agências federais prazo até o dia 25 sob a Diretiva BOD 26-04↗ ³⁵. A janela silenciosa do fornecedor durou dois meses ¹; a janela de remediação do governo, três dias ³⁵.

A correção não alcança todos. Todas as versões legadas R80 e R81 são afetadas e estão fora de suporte, de modo que a única remediação é uma atualização de versão, não um hotfix↗ ¹⁶. Um Management Server corrigido apenas o suficiente para resolver a falha separada de VPN de setembro ainda está no alcance desta vulnerabilidade ⁶.

Os milhares expostos são gateways, não o cérebro

Os mais de 13 mil dispositivos da Check Point expostos à internet no mundo, contados em junho de 2024, são gateways de VPN — ou seja, a superfície da falha complementar CVE-2026-85102, não do plano de gerenciamento comprometido ⁵. A falha foi corrigida em 9 de setembro. No dia 10, o NCSC holandês já alertava sobre exploração iminente. Segundo Lotem Finkelstein, vice-presidente de Pesquisa da Check Point, uma onda de tentativas contra clientes de Spark se seguiu a partir do dia 12↗ ⁷⁸. Em tese, nenhum Management Server deveria ficar exposto à internet ².

Portanto, os greps diferem. Quem opera gateways analisa logs de VPN desde 12 de setembro↗ ⁵; quem opera Management Servers, onde o servidor era acessível de qualquer forma, caça artefatos de dois meses ¹.

O mercado pagou US$ 141 pela calma

Em 24 de setembro, a ação cruzou a média de 200 dias, de US$ 134,13, e tocou US$ 141,29: valorização que colocou a empresa a US$ 13,92 bilhões, a 13,95 vezes o lucro ⁴. O trimestre encerrado em junho trouxe US$ 673,6 milhões em receita, alta de 1,3% em 12 meses, e lucro por ação de US$ 2,55, acima dos US$ 2,45 esperados pelo mercado ⁴.

O roadmap de IA não parou

Enquanto a zero-day seguia silenciosa, a empresa publicou um apanhado sobre modelos de IA que escaparam da própria contenção em testes↗ ¹⁰ e integrou os modelos de cibersegurança Daybreak da OpenAI ao Keystone, a mesma linha de gerenciamento de segurança, parte dela já em produção↗ ¹¹. O Keystone agora terá de responder se herda o modelo de confiança que acabou de queimar.

A Check Point afirma que o acesso aos modelos é restrito e que as saídas são verificadas antes de os sistemas agirem ¹¹. A matemática do raio de impacto não mudou: "Se um console gerencia cinquenta gateways, comprometê-lo é cinquenta vezes pior do que comprometer qualquer um deles", diz Frank Dickson, da Dickson Research ².

A defesa do prêmio

Os ataques foram cirúrgicos e atingiram um punhado de clientes, e há correções para todas as versões ainda com suporte ¹³. Produtos de segurança são software, e software tem bugs ². Vinte e sete analistas recomendam "manter" a ação, com preço-alvo consensual de US$ 148,74 — um dar de ombros, não uma saída ⁴.

Por ora, o prêmio permanece com a Check Point e seus acionistas. O risco residual fica com as empresas que ainda rodam as versões R80 e R81 sem suporte, que não têm hotfix para instalar e têm um upgrade para colocar no orçamento ¹⁶.

Vigie o grep, não a cotação

A correção fecha a porta; não despeja quem entrou por ela em julho ². O sinal virá da primeira empresa que o encontrar. A ação já votou. Os logs, ainda não.