O cerne do problema reside numa falha do tipo "path traversal" (travessia de diretório) presente no sistema operativo Gaia dos equipamentos da Check Point. As redes tornam-se suscetíveis aos ataques caso tenham a funcionalidade "IPsec VPN" configurada no modo de acesso remoto (Remote Access), ou caso mantenham ativa a "Mobile Access Software Blade". Esta brecha permite extrair dados sensíveis diretamente dos diretórios do sistema, sem a necessidade de qualquer interação do utilizador ou de credenciais de autenticação prévias.
As consequências desta exposição são extremamente perigosas para as infraestruturas empresariais. Através da leitura arbitrária de ficheiros, os cibercriminosos conseguem extrair hashes de palavras-passe de contas locais, chaves SSH e outros dados cruciais. Como as chamadas contas de utilizador legadas (Legacy User Accounts) possuem frequentemente um limite estrutural de segurança de apenas oito caracteres, a quebra destas credenciais através de ataques de força bruta torna-se um processo muito acessível para os invasores.
Com as palavras-passe descodificadas em mãos, o risco de infiltração na organização aumenta exponencialmente. Os atacantes passam a possuir o acesso necessário para efetuarem movimentos laterais dentro das redes corporativas de forma silenciosa. Esta escalada de privilégios possibilita o comprometimento total de ambientes críticos da empresa, como a infraestrutura do Active Directory, permitindo a extração contínua de dados confidenciais antes que as equipas de TI consigam detetar a intrusão inicial.
Face à confirmação de que a vulnerabilidade já estava a ser ativamente explorada no terreno desde meados de abril, a mitigação rápida é imperativa. A Check Point libertou imediatamente um hotfix de segurança obrigatório que corrige a falha e bloqueia a exposição dos diretórios. Adicionalmente, as empresas afetadas devem assumir uma postura de desconfiança por defeito: é crucial forçar a rotação de todas as palavras-passe (especialmente as de contas LDAP ou de sistema), desativar contas locais desnecessárias e analisar rigorosamente os registos de rede (logs) em busca de atividades anómalas e acessos suspeitos.
