Faille zero-day sur les pare-feu Check Point : que vérifier maintenant

Actualités · Creative IT USA · 14 novembre 2026

Une faille Check Point qui donne un accès root aux passerelles est exploitée depuis fin octobre. La CISA l’a signalée le 13 novembre. Ce que doit faire votre bureau.

Réserver une intervention ou un enlèvement (213) 986-4855

Si le pare-feu de vos bureaux est une passerelle Check Point, il mérite votre attention cette semaine. Le 13 novembre 2026, Check Point a averti que des attaquants exploitent depuis plusieurs semaines une faille jusque-là inconnue pour prendre le contrôle total de certaines de ses passerelles et de ses serveurs d’administration. Le même jour, la CISA l’a ajoutée à son catalogue des vulnérabilités activement exploitées. Beaucoup de petites entreprises ont un boîtier Check Point installé il y a des années par un prestataire, que personne n’a ouvert depuis. Voici ce qui s’est passé et ce qu’il faut vérifier.

Les faits

La faille porte la référence CVE-2026-123039. D’après BleepingComputer, elle se trouve dans un service interne du système Gaia de Check Point, qui accepte des commandes par un socket local sans vérifier qui s’y connecte. Une personne déjà présente sur l’équipement peut s’en servir pour exécuter des commandes en tant que root, le niveau de contrôle le plus élevé. Check Point indique qu’elle est exploitée depuis fin octobre contre « quelques dizaines » de clients. Parmi les produits concernés : Security Gateway, Security Management Server, Multi-Domain Security Management Server et Scalable Platforms.

Comme la faille demande un accès local, les attaquants l’ont combinée avec une autre porte d’entrée. Selon Network World, ils sont d’abord passés par le portail Mobile Access, la page d’accès à distance que certaines passerelles exposent sur internet, grâce à deux failles PHP critiques baptisées PHP2Shell (CVE-2026-109618 et CVE-2026-109619). Une fois root, ils ont caché des web shells dans les pages de connexion du portail, installé une porte dérobée qui résiste aux redémarrages, rebondi du pare-feu vers un serveur VMware ESXi du réseau interne et, au moins dans certains cas, lancé un logiciel conçu pour détruire les données.

L’alerte de la CISA du 13 novembre décrit une mauvaise attribution de permissions dans plusieurs produits Check Point et invite toutes les organisations, pas seulement les agences fédérales, à la traiter en priorité.

Pourquoi c’est important pour une petite structure

Le pare-feu se trouve entre internet et tout le reste de votre informatique. Quand c’est lui qui est compromis, les protections de vos ordinateurs voient arriver un trafic qui semble venir d’un endroit de confiance. Cette attaque reprend aussi un scénario vu cette année chez de nombreuses marques de pare-feu : un portail d’accès à distance ouvert sur internet, une faille dans ce portail, puis un déplacement rapide vers les serveurs et les sauvegardes.

Que faire maintenant

1. Identifiez votre pare-feu. Regardez l’étiquette du boîtier ou demandez à votre prestataire la marque, le modèle et la version logicielle. Si c’est un Check Point, lisez la suite.
2. Installez le correctif de Check Point. L’éditeur a publié des hotfixes d’urgence, décrits dans son avis sk1000362. Commencez par les équipements dont le portail Mobile Access est joignable depuis internet.
3. Si la mise à jour n’est pas possible aujourd’hui, la solution d’attente de Check Point consiste à arrêter le processus dynamic_server et à l’empêcher de redémarrer. Confiez-le à votre prestataire : certaines fonctions en ligne de commande peuvent en pâtir.
4. Coupez ce qui ne sert pas. Si personne n’utilise Mobile Access, désactivez-le. L’interface d’administration du pare-feu ne doit pas être accessible depuis internet.
5. Recherchez des traces d’intrusion. Demandez à la personne qui gère l’équipement de lancer les contrôles de journaux publiés par Check Point pour les passerelles exposées depuis fin octobre. Au moindre doute, considérez le pare-feu et ce qui se trouve derrière comme suspects et prévoyez une réinstallation à partir d’images fiables.
6. Protégez sauvegardes et serveurs virtuels. Le pare-feu ne doit avoir aucun accès de confiance vers vos hôtes VMware ni vers le système de sauvegarde, et au moins une copie doit être hors ligne ou immuable.

Notre aide

Si vous ne savez pas exactement ce qui protège votre réseau, notre équipe installation et gestion de réseaux peut contrôler le pare-feu, appliquer les mises à jour et fermer les accès distants inutiles. Pour un bilan plus large, voyez nos services de cybersécurité ou notre article sur le moment où un bureau dépasse son routeur. Appelez le (213) 986-4855.