Deux vulnérabilités critiques viennent d’être révélées sur les passerelles VPN Check Point, largement utilisées par les entreprises pour sécuriser leurs connexions distantes. Notées 9,8 sur 10 à l’échelle de gravité CVSS, elles permettent à un attaquant non authentifié d’exécuter du code à distance sur l’appliance, sans même avoir besoin d’un mot de passe. Une alerte prise très au sérieux par plusieurs centres nationaux de cybersécurité en Europe.
Deux failles, une même porte d’entrée : la négociation VPN
Les deux failles, référencées CVE-2026-85102 et CVE-2026-85103, touchent le processus de négociation de certificat qui a lieu avant même que l’utilisateur ne s’authentifie. La première tient à une validation défaillante des données de certificat pendant l’établissement de la connexion VPN. La seconde est un débordement de tas dans le décodeur des certificats, qui peut être déclenché par l’envoi d’un certificat spécialement construit. Dans les deux cas, il suffit à l’attaquant d’engager une négociation VPN pour tenter de prendre le contrôle de la passerelle, sans franchir la moindre étape de connexion classique.
Les produits concernés incluent les Security Gateway, le Security Management Server et le pare-feu Spark, destiné aux petites structures. Check Point a publié des correctifs dès le 9 septembre, sous forme de mises à jour cumulatives (Jumbo Hotfix) : R82.10 Take 44, R82 Take 126 ou R81.20 Take 166 selon la version installée. Les clients utilisant le service Live Patch de l’éditeur ont été protégés automatiquement dès le déploiement.
Des tentatives d’exploitation déjà observées
L’alerte a rapidement gagné en urgence : dès le 12 septembre, Check Point a signalé des tentatives d’exploitation actives visant en particulier ses clients utilisant le pare-feu Spark, plus répandu chez les petites et moyennes entreprises. Le centre néerlandais de cybersécurité (NCSC) a de son côté jugé la probabilité et l’impact d’une exploitation à grande échelle comme « élevés », invitant les organisations à ne pas attendre leur prochaine fenêtre de maintenance pour appliquer le correctif. Cette réactivité fait écho à une autre obligation entrée en vigueur au même moment : celle, prévue par le Cyber Resilience Act, de signaler activement toute faille exploitée sur un produit connecté commercialisé en Europe.
Pourquoi les VPN d’entreprise restent une cible de choix
Les passerelles VPN occupent une position stratégique dans les réseaux d’entreprise : elles filtrent et acheminent tout le trafic distant, ce qui en fait une cible de choix pour qui cherche à pénétrer un système d’information sans être détecté. Une faille pré-authentification comme celle-ci est particulièrement recherchée par les attaquants, car elle ne nécessite ni identifiants volés ni ingénierie sociale au préalable. Le sujet dépasse d’ailleurs le seul cas Check Point : les équipes informatiques doivent aussi rester vigilantes sur d’autres vecteurs, comme les fausses extensions VPN qui circulent sur les navigateurs grand public et peuvent compromettre un poste avant même d’atteindre la passerelle d’entreprise.
Ce que les entreprises doivent vérifier maintenant
- Identifier tous les boîtiers Check Point exposés (Security Gateway, Management Server, Spark) et leur version de Jumbo Hotfix actuelle
- Appliquer sans délai les correctifs R82.10 Take 44, R82 Take 126 ou R81.20 Take 166 selon la ligne de produit
- Vérifier l’activation du service Live Patch pour bénéficier d’une protection automatique
- Passer en revue les journaux de connexion VPN à la recherche de négociations suspectes sur la période récente
Cet épisode illustre une tendance de fond dans la high-tech professionnelle : à mesure que la défense des systèmes d’information progresse, notamment grâce à l’intelligence artificielle appliquée à la cybersécurité, les attaquants concentrent leurs efforts sur les équipements de périphérie, moins visibles au quotidien mais essentiels au fonctionnement du réseau.
Questions fréquentes
Qu’est-ce qu’une exécution de code à distance non authentifiée ?
C’est une faille qui permet à un attaquant de faire exécuter des instructions de son choix sur un équipement, sans avoir besoin de mot de passe ni d’accès préalable au système. C’est l’une des catégories de vulnérabilités les plus critiques, car elle ne nécessite aucune action de la victime.
Mon entreprise utilise Check Point : dois-je m’inquiéter ?
Si votre organisation utilise un Security Gateway, un Security Management Server ou un pare-feu Spark, il est recommandé de vérifier immédiatement la version installée et d’appliquer le correctif publié par l’éditeur le 9 septembre, en particulier compte tenu des tentatives d’exploitation déjà recensées.
Le service Live Patch protège-t-il automatiquement ?
Oui, les clients ayant activé le service Live Patch de Check Point ont reçu la protection contre ces deux failles automatiquement, sans intervention manuelle, dès le début du déploiement le 9 septembre.
Sources
Cet article a été rédigé avec l’aide d’une intelligence artificielle. Politique éditoriale
 touchent les VPN Check Point, avec des attaques déjà observées. Correctifs disponibles : ce que les entreprises doivent vérifier.){kind=link}