Deux vulnérabilités touchant des produits Check Point et UnrealIRCd figurent désormais dans le catalogue KEV (Known Exploited Vulnerabilities) de la CISA, à la suite de preuves d'exploitation active. L'alerte du 13 novembre 2026 fait de la remédiation une priorité pour les organisations concernées, y compris les opérateurs de passerelles Check Point confrontés à une chaîne d'attaque signalée ayant entraîné la destruction de données.
La vulnérabilité Check Point, CVE-2026-123039, permet à un attaquant disposant déjà d'un accès local authentifié à faibles privilèges de prendre le contrôle en tant que root. La vulnérabilité UnrealIRCd, CVE-2026-114713, permet à un simple utilisateur IRC d'exécuter des commandes avec une autorité de niveau serveur sur les réseaux comptant au moins deux serveurs liés entre eux. Les deux affichent des scores CVSS de gravité élevée, mais c'est la preuve d'exploitation établie par la CISA qui a motivé leur inscription au catalogue KEV.
L'élévation de privilèges sur Check Point fait suite à la compromission d'un portail
Pour les Security Gateways et les produits Security Management de Check Point, le composant vulnérable est le démon DynamicCLI de Gaia OS. Security Affairs rapporte que ce démon fonctionne en root mais accepte les connexions via /tmp/dynamic_socket, un socket Unix local accessible en écriture à tous. Une authentification insuffisante des processus qui se connectent permet à un attaquant local à faibles privilèges d'exécuter des commandes arbitraires en root. CVE-2026-123039 a un score CVSS de 7,8.
Les attaques signalées contre des passerelles non corrigées combinent cette élévation de privilèges avec un point d'entrée distinct. Citant Check Point Research, Security Affairs décrit des attaquants exploitant les vulnérabilités PHP2Shell, CVE-2026-109618 et CVE-2026-109619, via le portail Mobile Access, avant d'utiliser CVE-2026-123039 pour obtenir les privilèges root.
Après avoir obtenu ce contrôle, les attaquants installent des webshells et la porte dérobée TSGA pour maintenir leur accès, puis se propagent dans les réseaux internes. Certaines attaques ont aussi utilisé le wiper destroy_v6 contre des hôtes VMware ESXi pour effacer des données.
Les organisations israéliennes ont été les premières cibles de la campagne le 30 octobre 2026, et certaines ont subi des attaques destructrices. Une nouvelle vague, commencée le 2 novembre, a touché des organisations dans plusieurs pays et secteurs.
Security Affairs rapporte également la mise en garde de Check Point concernant l'attribution. Des similitudes de code et d'infrastructure relient le malware à PhiliKit, un framework précédemment associé à l'acteur UNC5221, lié à la Chine. Check Point estime toutefois que les éléments disponibles ne suffisent pas à attribuer l'ensemble de la campagne à ce groupe. Une collaboration entre acteurs et une opération sous fausse bannière restent des explications possibles.
UnrealIRCd laisse accéder à des opérations IRC privilégiées
La plage affectée commence à la version 6.0.0 et s'arrête avant la 6.2.7.1. CVE-2026-114713, noté 8,6 sur l'échelle CVSS, concerne le module labeled-response du serveur IRC open source.
Ce module intègre une balise de message IRCv3 label dans les réponses du serveur sans la nettoyer correctement. Un attaquant peut utiliser cette balise pour insérer des caractères de saut de ligne et des commandes supplémentaires dans le trafic échangé entre serveurs. Lorsqu'au moins deux serveurs sont liés entre eux, un utilisateur n'a besoin d'aucun privilège particulier pour que ces commandes soient traitées avec une autorité de niveau serveur.
Cette autorité pourrait permettre un contrôle administratif du réseau IRC, notamment la déconnexion ou le bannissement d'utilisateurs, la manipulation des utilisateurs et des canaux, et la perturbation du service. Security Affairs indique que le responsable d'UnrealIRCd a confirmé des tentatives d'exploitation sur Internet peu après la divulgation, sans attaquant publiquement identifié et sans lien confirmé avec une campagne particulière ou un mobile financier.
Prioriser la remédiation et évaluer une éventuelle compromission
L'alerte de la CISA renvoie les agences fédérales à la Binding Operational Directive 26-04. Elle impose aux agences civiles du pouvoir exécutif fédéral (Federal Civilian Executive Branch) de traiter en priorité et rapidement les vulnérabilités inscrites au catalogue KEV sur les actifs exposés publiquement, lorsque l'exploitation confère un contrôle total, tout en reportant le traitement des vulnérabilités à moindre risque. La directive fixe aussi des attentes quant à la vérification de la compromission éventuelle d'un actif avant l'application du correctif.
Security Affairs indique que la date limite de remédiation pour ces deux failles est le 16 novembre 2026. Cette exigence fédérale s'applique aux agences concernées, et n'impose pas une échéance à toutes les organisations.
Les administrateurs responsables des systèmes Check Point touchés et des réseaux UnrealIRCd devraient prioriser la remédiation, conformément à la recommandation de la CISA destinée à toutes les organisations. Les agences fédérales concernées doivent en outre appliquer les exigences de la directive permettant de vérifier si des attaquants ont obtenu un accès avant l'installation des correctifs.
