CVE-2026-50751 : contournement d'authentification sur le VPN de Check Point, déjà activement exploité

CVE-2026-50751 : contournement d'authentification sur le VPN de Check Point, déjà activement exploité

En bref

Une vulnérabilité critique (CVSS 9.3) affectant les produits VPN de Check Point a été publiée et figure déjà dans le catalogue des vulnérabilités activement exploitées de la CISA (KEV) [1][2]. La faille permet à un attaquant distant, sans avoir besoin d'identifiants, d'établir une connexion VPN d'accès distant en contournant l'authentification de l'utilisateur [1]. Si votre organisation utilise Check Point Security Gateway avec les fonctionnalités Remote Access ou Mobile Access, il est recommandé de prioriser dès aujourd'hui l'examen des correctifs disponibles auprès du fabricant et l'audit des sessions VPN actives.

De quoi s'agit-il et pourquoi est-ce important

Selon la fiche technique publiée sur NVD, il s'agit d'une faille logique dans la validation des certificats au sein de l'échange de clés IKEv1, un protocole déjà considéré comme obsolète (deprecated) mais toujours utilisé dans de nombreux environnements d'accès distant [1]. Cette faille permet à un attaquant non authentifié de contourner la vérification du nom d'utilisateur et du mot de passe, en établissant une connexion VPN d'accès distant valide sans disposer d'identifiants légitimes [1].

En pratique, cela signifie qu'un acteur externe pourrait obtenir un point d'entrée vers le réseau de l'entreprise via l'infrastructure même censée protéger l'accès distant : la passerelle VPN. C'est un scénario particulièrement délicat, car ces équipements sont généralement placés en périphérie, directement visibles depuis internet, et servent de porte d'entrée vers les systèmes internes.

La vulnérabilité a été publiée le 8 juin 2026 avec une sévérité « critical » selon NVD [1], et la CISA l'a intégrée à son catalogue KEV, ce qui confirme l'existence d'une exploitation active constatée par cette agence [2]. Nous ne disposons pas, à ce jour, de davantage de détails publics vérifiés sur le volume ou l'origine de cette exploitation.

Qui est concerné

Le fabricant concerné est Check Point [1]. La description officielle identifie comme composants impliqués les fonctionnalités Remote Access et Mobile Access au sein de l'échange de clés IKEv1 [1]. Nous ne disposons pas d'une liste vérifiée de versions ou de modèles précis affectés ; ainsi, si votre organisation exploite des passerelles Check Point avec le VPN d'accès distant activé, il convient de traiter cet avis comme potentiellement pertinent et de confirmer l'état exact directement auprès de la documentation et des avis de sécurité du fabricant.

Dans notre radar de renseignement, nous classons cette vulnérabilité dans la catégorie « Authentification / accès non autorisé », avec une sévérité critique, précisément parce qu'il s'agit d'un contournement d'authentification sur un composant périmétrique d'accès distant : le type de faille qui combine exposition à internet, absence de besoin d'identifiants et accès potentiellement direct au réseau interne.

Comment savoir si vous êtes vulnérable

Avant tout, vérifiez si votre organisation dispose de passerelles Check Point déployées avec des fonctionnalités Remote Access ou Mobile Access accessibles depuis internet : ce sont celles-ci que la description officielle désigne comme impliquées [1]. Vérifiez également si l'échange de clés configuré sur ces connexions VPN utilise encore IKEv1, puisqu'il s'agit du protocole mentionné dans la faille [1].

Au-delà de la vérification interne, il est recommandé de cartographier quels actifs de votre organisation sont réellement exposés vers l'extérieur : passerelles VPN, portails d'accès distant et tout service Check Point visible depuis internet sont les premiers candidats à examiner. Connaître précisément cette surface exposée constitue, de manière générale, la première étape face à ce type d'avis, et plus encore lorsqu'il concerne une infrastructure d'accès distant en périphérie.

Comment vous protéger

• Consultez au plus vite les avis et correctifs officiels de Check Point pour vos produits et versions spécifiques, et appliquez-les en suivant la procédure de votre fournisseur ou partenaire technologique.
• Auditez les connexions VPN actives et récentes sur vos passerelles, en recherchant les sessions ne correspondant pas à des utilisateurs ou des appareils reconnus.
• Si cela est techniquement possible et ne compromet pas de services critiques, envisagez de désactiver IKEv1 ou de migrer vers des protocoles d'échange de clés plus récents, puisqu'il s'agit du composant désigné dans la description de la faille [1].
• Renforcez la surveillance des passerelles d'accès distant durant les prochaines semaines, étant donné que la vulnérabilité figure dans le catalogue KEV et qu'une exploitation active est avérée [2].
• Documentez les systèmes Check Point présents dans votre organisation ainsi que leur exposition réelle à internet ; c'est la base pour prioriser toute remédiation.

Questions fréquentes

Cela signifie-t-il que nous avons déjà été attaqués ?

Pas nécessairement. Le fait que le CVE figure dans le catalogue KEV confirme que la CISA a connaissance d'une exploitation active en général [2], et non que chaque organisation utilisant des produits Check Point a été attaquée.

Dois-je appliquer le correctif de manière obligatoire selon la réglementation ?

L'inscription au catalogue KEV entraîne des délais de remédiation obligatoires pour les agences fédérales civiles américaines (en vertu de la directive BOD 22-01). Pour les autres organisations, il ne s'agit pas d'une obligation réglementaire, mais bien d'un signal fort indiquant qu'il convient de prioriser le correctif au plus vite.

Que faire si je ne sais pas si Remote Access ou Mobile Access sont activés chez nous ?

C'est un bon point de départ pour votre équipe IT ou votre prestataire de sécurité : examiner la configuration des passerelles Check Point et confirmer quelles fonctionnalités d'accès distant sont activées et exposées à internet.

Sources

• [1] NVD — Fiche officielle de CVE-2026-50751 : nvd.nist.gov/vuln/detail/CVE-2026-50751
• [2] CISA — Catalogue des vulnérabilités exploitées connues (KEV) : cisa.gov/known-exploited-vulnerabilities-catalog