Check Point Menambahkan WAF ke Platform Pemerintah Bersertifikasi FedRAMP

Check Point Software mengumumkan pada 12 November 2026 bahwa Check Point Web Application and API Security telah bergabung dengan Check Point Platform for Government yang bersertifikasi FedRAMP. Penambahan ini membuat perlindungan aplikasi web dan API tersedia melalui penawaran federal perusahaan yang sudah tersertifikasi, alih-alih menghadirkan platform mandiri baru yang harus disertifikasi.

Catatan di FedRAMP Marketplace mencantumkan WAF bersama Email & Collaboration, ThreatCloud AI, dan Portal manajemen. Platform ini pertama kali memperoleh sertifikasi FedRAMP pada 24 September 2025, berstatus dalam Sertifikasi Berkelanjutan, dan memiliki satu otorisasi berdasarkan profil Rev5 Agency Class C (Moderate). Platform ini terdaftar sebagai perangkat lunak sebagai layanan di Government Community Cloud. Bagi penanggung jawab misi federal, perubahan praktisnya adalah WAF kini dapat ditemukan, dievaluasi, dan diperoleh melalui paket yang sudah ada tersebut.

Fitur Tambahan dalam Paket Bersertifikasi

Check Point menjelaskan bahwa WAF melindungi aplikasi dan API yang terhubung ke internet dari kerentanan yang diketahui, eksploitasi zero-day, dan penyalahgunaan API. Paket ini menggabungkan penemuan API otomatis, validasi skema, dan penegakan autentikasi dengan mitigasi bot, perlindungan terhadap serangan penolakan layanan terdistribusi, serta pengiriman terintegrasi CDN. Kontrol aplikasi AI generatifnya menangani injeksi prompt, kebocoran data, dan konten berbahaya, sementara pengelolaan terpusat dirancang untuk mengurangi jumlah perangkat keamanan aplikasi terpisah yang dioperasikan oleh lembaga.

Konteks Kebocoran Data di Sektor Publik

Cuplikan sektor publik dari Laporan Investigasi Kebocoran Data 2026 Verizon memberikan konteks bagi perluasan ini. Kumpulan data Administrasi Publik mencakup periode Oktober 2024 hingga November 2025 dan mencatat 3.634 insiden, termasuk 2.410 insiden dengan pengungkapan data yang terkonfirmasi. Eksploitasi kerentanan menjadi vektor akses awal dalam 40% kebocoran, dibandingkan dengan 20% untuk phishing dan 8% untuk penyalahgunaan kredensial. Data pribadi ditemukan dalam 50% kebocoran tersebut, data internal dalam 39%, dan rahasia dalam 30%.

Verizon mengingatkan bahwa kumpulan data pemerintah memiliki lebih sedikit kontributor dibandingkan kumpulan data sektor swasta dan lebih rentan terhadap bias. Meski demikian, perincian vektor aksesnya tetap menggambarkan risiko yang dihadapi sistem yang terhubung ke publik, terutama ketika aplikasi lama atau aplikasi pihak ketiga tidak selalu dapat segera diperbarui dengan tambalan keamanan.

PHP2Shell dan Batas Perlindungan Gerbang Jaringan

Catatan Check Point Research tertanggal 21 Oktober 2026 memberikan contoh perlindungan terkini. Catatan itu menguraikan dua kerentanan kritis PHP, masing-masing dengan skor CVSS v4.0 9.2, serta melaporkan bahwa pengujian awal eksploitasi bukti konsep menunjukkan mesin WAF memblokir secara proaktif upaya eksekusi shell jarak jauh.

Catatan yang sama menyebutkan bahwa kontrol gerbang jaringan mengurangi risiko, tetapi tidak menggantikan pembaruan PHP karena kerentanannya berada pada interpreter, sementara lalu lintas terenkripsi yang tidak diperiksa dapat melewati tanda tangan jaringan. Batasan tersebut penting dalam pengumuman federal ini: WAF dapat menambahkan lapisan pencegahan, tetapi tidak menghilangkan kebutuhan untuk memperbaiki perangkat lunak yang mendasarinya.

Perluasan ini memberi lembaga cara untuk mengonsolidasikan pertahanan aplikasi dalam layanan bersertifikasi yang sudah ada, tetapi PHP2Shell menegaskan bahwa tantangan operasional masih tersisa. Kontrol pencegahan dapat mengurangi paparan sebelum perbaikan selesai, sementara pemasangan tambalan keamanan dan pemeriksaan lalu lintas terenkripsi tetap diperlukan untuk mengatasi risiko yang mendasarinya.