Scripts de Mitigação do CVE-2026-50751

Existem várias técnicas de mitigação que você pode usar a partir do sk; https://support.checkpoint.com/results/sk/sk185033

1. Desabilitar o suporte a clientes legados.
2. Configurar o Acesso Remoto para usar apenas ike v2

Existem scripts para ambas as alterações; Leia https://support.checkpoint.com/results/sk/sk166415 para entender os clientes ikev2 suportados

SMS

Se você quiser fazer a opção 1 e desabilitar clientes legados, baixe disable_legacy_clients.SMS.sh e execute-o a partir da linha de comando do seu gerenciador. Certifique-se de usar chmod +x disable_legacy_clients.SMS.sh para torná-lo executável. OBSERVE QUE ISSO USA OBJETOS GENÉRICOS E CARREGA O MESMO RISCO QUE O DBEDIT

Se você quiser simplesmente mudar para ike v2, pode executar este comando simples de uma linha para fazer isso; mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method “ike_v2_only"

MDS

Este script é destinado a ambientes Check Point Multi-Domain Security Management. Ele percorre cada Domínio configurado em um servidor MDS e atualiza a alteração de cliente legado ou ikev v2 como o SMS acima.

Propósito

Novamente, existem dois scripts;

1. disable_legacy_clients_MDS.sh desabilitará a caixa de seleção de cliente legado em cada objeto de gateway em cada domínio no seu MDS. Ele percorre todos de uma vez, então pode levar um tempo. Novamente... OBSERVE QUE ISSO USA OBJETOS GENÉRICOS E CARREGA O MESMO RISCO QUE O DBEDIT
2. switch_ikev2_mds.sh O script aplica a seguinte alteração da API de Gerenciamento em cada Domínio: mgmt_cli -r true set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only"

Requisitos

Execute a partir do servidor de gerenciamento MDS API de Gerenciamento Check Point habilitada mgmt_cli deve estar disponível no shell O script deve ser executado por um administrador familiarizado com ambientes MDS Certifique-se de usar "chmod +x nome_do_script.sh" para tornar o script executável. Execute com ./nome_do_script.sh.sh

Notas Importantes

Este script publica alterações automaticamente usando -r true. Uma instalação de política ainda é necessária nos gateways afetados para que a alteração entre em vigor. Teste em um laboratório ou janela de manutenção antes de executar em produção. Leia https://support.checkpoint.com/results/sk/sk166415 para entender os clientes ikev2 suportados

Revise a lista de Domínios antes de aplicar as alterações amplamente. Exemplo de Comando Usado por Domínio mgmt_cli -r true -d "<DOMAIN_NAME>" set global-properties remote-access.vpn-authentication-and-encryption.encryption-method "ike_v2_only" Verificação Pós-Alteração

Você pode verificar o valor em um Domínio com:

mgmt_cli -r true -d "<DOMAIN_NAME>" show global-properties details-level full --format json | jq '.["remote-access"]["vpn-authentication-and-encryption"]["encryption-method"]'

Resultado esperado:

"ike_v2_only"

Aviso Legal

Use por sua conta e risco. Sempre valide a sintaxe do comando em relação à sua versão específica do Check Point e ao esquema da API de Gerenciamento antes de executar em produção.