Check Point corrige deux failles critiques de certificats VPN permettant une exécution de code à distance sans authentification

Check Point a divulgué deux vulnérabilités critiques de traitement de certificats le 9 septembre 2026 et a commencé à distribuer des protections le jour même. Les deux failles affichent un score CVSS de 9,8 et peuvent permettre à des attaquants non authentifiés d’exécuter du code à distance sur les systèmes de sécurité concernés.

L’entreprise indique que l’exploitation nécessite des « conditions spécifiques », sans toutefois préciser lesquelles. Check Point a découvert les deux vulnérabilités en interne et n’a trouvé aucune preuve d’attaques les exploitant.

Aucun indicateur de compromission n’a été publié.

Deux failles liées aux certificats exposent les passerelles et les systèmes de gestion

La première vulnérabilité, CVE-2026-85102, résulte d’une validation insuffisante de la confiance des certificats lors de la négociation VPN. Une exploitation réussie peut entraîner une exécution de code à distance sans authentification sur une passerelle de sécurité Check Point Security Gateway.

La seconde, CVE-2026-85103, est un dépassement de tampon basé sur le tas dans le code qui décode la structure ASN.1 d’un certificat VPN. Elle affecte les systèmes Quantum Security Management et Quantum Security Gateway et peut également conduire à une exécution de code à distance sans authentification.

Les deux vulnérabilités présentent les données de gravité suivantes :

• Score CVSS : 9,8
• Vecteur CVSS : CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ce vecteur décrit une attaque accessible via le réseau, ne nécessitant ni privilèges ni interaction de l’utilisateur, avec des effets potentiellement complets sur la confidentialité, l’intégrité et la disponibilité. Check Point a attribué les identifiants et les scores. Aucune classification CWE n’a été publiée pour ces deux vulnérabilités.

Les chemins techniques diffèrent. La CVE-2026-85102 concerne la capacité de la passerelle à établir correctement la confiance dans un certificat présenté lors de la négociation VPN. La CVE-2026-85103 cible quant à elle la gestion de la mémoire lorsque le système analyse des données de certificat encodées en ASN.1.

Cette dernière pourrait ne pas se limiter aux systèmes sur lesquels la lame logicielle VPN est activée. Un employé de Check Point a indiqué aux clients que le traitement des certificats pourrait en théorie exposer un environnement où des certificats VPN sont présents, même si la lame elle-même est désactivée.

Check Point n’a pas précisé si un attaquant doit disposer d’une interface VPN accessible, d’une chaîne de certificats spécialement configurée ou d’un autre prérequis propre au déploiement. L’entreprise n’a pas non plus publié de code de preuve de concept ni de détails au niveau des paquets.

Les versions R81.20, R82 et R82.10 sont concernées

Les enregistrements de Check Point indiquent la même liste de versions concernées pour les deux vulnérabilités :

Branche produit	Niveau de Jumbo Hotfix concerné
R82.10	Take 43 ou inférieur
R82	Take 125 ou inférieur
R81.20	Take 165 ou inférieur

Ces numéros identifient les versions concernées, et non les premières versions corrigées des Jumbo Hotfix. Check Point n’a pas précisé quels Takes de Jumbo Hotfix contiennent les corrections définitives.

Les enregistrements ne couvrent que ces trois branches Quantum. Ils ne fournissent pas d’informations de version pour les versions plus anciennes ni pour d’autres familles de produits.

Un avis du Centre canadien pour la cybersécurité a désigné un ensemble plus large de produits sans identifier les versions concernées :

• Security Gateway
• Security Management Server
• Spark Firewall avec VPN site à site ou accès à distance
• Spark Firewall sans cette condition VPN indiquée

Les entrées en double pour Spark Firewall laissent planer une incertitude sur l’exposition du produit. Check Point n’a pas précisé quels modèles Spark, quelles versions de micrologiciel ni quels modes de déploiement sont vulnérables. Les versions de Security Management Server sont également non précisées en dehors des informations relatives à la branche Quantum.

Cette lacune est particulièrement importante pour les utilisateurs de R81.10. Deux clients exécutant cette branche ont signalé qu’aucun Jumbo Hotfix ni Live Patch ne leur était disponible, ne laissant que la voie d’atténuation décrite dans l’avis.

Le déploiement du Live Patch est en cours, mais les versions de correction définitive restent non précisées

Check Point propose deux voies de remédiation via les avis sk1000117 et sk1000118.

La première est le Check Point Live Patch, dont le déploiement a commencé le 9 septembre 2026. Les systèmes utilisant ce service devraient recevoir la protection automatiquement à mesure que le déploiement les atteint.

Un employé de Check Point a indiqué que le Live Patch pouvait être installé sur n’importe quel niveau de Jumbo Hotfix pour R81.20, R82.00 et R82.10. Ce sont les seules versions mentionnées dans cette déclaration. L’utilisation de R82.00 diffère de la dénomination R82 du tableau des versions concernées, et aucune clarification supplémentaire n’a été fournie.

La seconde option consiste à installer le dernier Jumbo Hotfix de la version déployée dès que Check Point le rend disponible. Étant donné que l’entreprise n’a pas indiqué le premier Take corrigé pour chaque branche, les administrateurs ne doivent pas supposer qu’il suffit de passer juste au-dessus des seuils concernés sans consulter l’avis correspondant.

Les utilisateurs ne disposant pas d’un correctif disponible font face à des consignes moins précises. Un client R81.10 a indiqué que l’atténuation semblait nécessiter la désactivation des règles VPN implicites, sans expliquer quelles lignes de configuration devaient être modifiées. Un autre a demandé comment appliquer l’atténuation sans perturber les utilisateurs distants. Aucune de ces questions n’a reçu de réponse.

Les administrateurs devraient donc privilégier le Live Patch lorsqu’il est pris en charge et surveiller les avis sk1000117 et sk1000118 pour obtenir des informations de Jumbo Hotfix spécifiques à chaque branche. Les modifications des règles VPN implicites doivent être testées avec soin, car elles pourraient interrompre la connectivité d’accès à distance ou de site à site.

Des clients signalent des retards de mise à jour et des liens d’avis défectueux

Le déploiement initial n’a pas été uniforme. Cinq comptes clients distincts ont signalé que leurs passerelles étaient restées sur le Take 17 ou le Take 18 du paquet de mise à jour de sécurité urgente le jour de l’annonce.

Un journal de mise à jour a montré l’installation du Take 18 le 1er septembre 2026, sans paquet ultérieur visible. Cela ne permet pas d’établir que le système était encore vulnérable, mais cela montre pourquoi les administrateurs doivent vérifier l’état réel des correctifs au lieu de supposer que la distribution automatique est terminée.

Plusieurs clients ont également indiqué que les liens de téléchargement figurant dans les deux avis de sécurité ne fonctionnaient pas. Le personnel de Check Point a répondu que les liens avaient été testés avec succès, bien qu’un client ait ensuite signalé des échecs dans deux navigateurs. Le lien correspondant dans l’article consacré au Live Patch serait resté fonctionnel.

Les organisations qui utilisent le déploiement automatique doivent confirmer que la protection concernée est installée sur chaque passerelle et serveur de gestion. Un service Live Patch configuré n’équivaut pas à un déploiement terminé.

Aucune exploitation n’est connue, mais les défenseurs ne disposent d’aucun indicateur de compromission publié

Check Point indique n’avoir observé aucune exploitation externe de l’une ou l’autre vulnérabilité. L’entreprise n’a pas publié d’indicateurs de compromission, expliquant que les IOC s’appliquent lorsqu’un exploit et une activité d’attaque associée ont été observés.

Par conséquent, aucun fournisseur ne met à disposition d’adresses IP, de hachages de fichiers, de noms de processus, de motifs de journaux ou de signatures réseau à rechercher pour les défenseurs. L’absence d’IOC ne doit pas être interprétée comme la preuve qu’un équipement exposé à Internet est sûr.

On ignore également si l’application du Live Patch ou d’un Jumbo Hotfix supprimerait un accès déjà obtenu par un attaquant. Le correctif ferme le chemin vulnérable, mais Check Point n’a pas indiqué que la remédiation effectue des réinitialisations d’identifiants, des invalidations de session, des vérifications de persistance ou une collecte forensique.

Le statut des CVE-2026-85102 et CVE-2026-85103 au regard du catalogue Known Exploited Vulnerabilities (KEV) de la CISA n’est pas disponible dans les documents publiés. Il n’existe donc pas de date d’entrée confirmée dans le KEV ni de date limite de remédiation fédérale pour ces deux nouveaux identifiants.

Des failles antérieures de Check Point ont été activement exploitées

Ces divulgations font suite à deux vulnérabilités antérieures de Check Point touchant l’authentification et la validation des certificats, inscrites au catalogue KEV de la CISA.

CVE-2026-50751, évaluée à 9,3, affecte la validation des certificats dans les flux de travail obsolètes IKEv1 Remote Access et Mobile Access. Elle permet à un attaquant non authentifié de contourner l’authentification par mot de passe et d’établir une connexion VPN d’accès à distance.

La CISA l’a ajoutée au catalogue KEV le 8 juin 2026, avec une échéance de remédiation fixée au 11 juin 2026 pour les agences fédérales américaines. La vulnérabilité a été utilisée dans des campagnes de rançongiciel. La CISA a demandé aux organisations d’appliquer les mesures d’atténuation des fournisseurs, de suivre les directives cloud applicables de la BOD 22-01 ou de cesser d’utiliser les produits concernés lorsque l’atténuation n’était pas disponible.

CVE-2026-16232, évaluée à 9,8, permet à un attaquant non authentifié d’obtenir un jeton d’application SmartConsole et de s’authentifier avec des privilèges administratifs complets. L’exploitation à distance nécessite un accès Internet au Management Server et une configuration qui ne restreint pas les Trusted Clients.

La CISA a ajouté cette faille au catalogue KEV le 22 juillet 2026, fixant une échéance de remédiation fédérale au 25 juillet 2026. Check Point a reconnu une exploitation touchant un très petit nombre de clients. La CISA a exigé des mesures d’atténuation des fournisseurs ainsi que l’application des correctifs fondés sur les risques prévus par la BOD 26-04 et des consignes de triage forensique.

La CVE-2026-85103 touche à nouveau les fonctionnalités du Security Management Server, inscrivant cette dernière divulgation dans une série récente de faiblesses Check Point à fort impact plutôt que dans un simple bug isolé de passerelle. Contrairement aux cas précédents, toutefois, les deux nouvelles vulnérabilités ne font actuellement l’objet d’aucune exploitation signalée et ne disposent d’aucun IOC exploitable.