CVE-2026-85102 : vulnérabilité critique dans les VPN de Check Point, déjà exploitée

CVE-2026-85102 : vulnérabilité critique dans les VPN de Check Point, déjà exploitée

En bref

Une vulnérabilité critique (CVE-2026-85102) a été confirmée dans le Security Gateway de Check Point, avec un score CVSS de 9.8 sur 10 [1] et publiée le 9 septembre 2026 [1]. La faille figure dans le catalogue CISA KEV des vulnérabilités dont l'exploitation est connue [2], ce qui signifie qu'il ne s'agit pas d'un risque théorique : elle a déjà été utilisée contre des organisations réelles. Si votre entreprise utilise des équipements Check Point pour des VPN d'accès distant ou des connexions entre sites, la priorité aujourd'hui est de vérifier si vous disposez de versions vulnérables exposées et d'appliquer le correctif du fabricant sans délai.

Ce que c'est et pourquoi c'est important

Le problème réside dans une validation incorrecte de la confiance des certificats lors de la négociation de la connexion VPN [1]. En pratique, cela peut permettre à un attaquant distant, sans avoir besoin d'identifiants ni d'authentification préalable, d'exécuter du code arbitraire directement sur le gateway [1]. En d'autres termes : il ne serait pas nécessaire de voler un mot de passe ni de piéger un employé, il suffirait de contacter l'équipement exposé sur internet pour tenter de le compromettre.

C'est la combinaison de trois facteurs qui rend la situation urgente : une sévérité critique selon NVD [1], l'absence d'authentification requise [1] et une présence confirmée dans la liste CISA KEV des vulnérabilités activement exploitées [2]. Les gateways VPN sont, par conception, des équipements destinés à être accessibles depuis internet, ce qui en fait une cible particulièrement attrayante lorsqu'une faille de ce type apparaît.

Qui est concerné

Le fabricant concerné est Check Point [1], et la description officielle mentionne explicitement le Quantum Security Gateway [1]. Selon l'analyse du radar d'OCIRIA, ce type de faille dans la couche de négociation VPN pourrait également affecter d'autres équipements de la même famille de produits, comme le firewall Spark, en raison du partage de composants de gestion des certificats et des VPN [3] ; il s'agit d'une évaluation de risque propre, et non d'une donnée confirmée directement par le fabricant ou par NVD, c'est pourquoi nous recommandons de la traiter comme une hypothèse de travail en attendant de vérifier l'inventaire réel.

Concernant le type d'organisation à risque : toute entreprise utilisant des gateways Check Point pour des VPN Site-to-Site (connexion entre sites ou avec des fournisseurs) ou des VPN d'accès distant (télétravail) devrait se considérer comme potentiellement exposée jusqu'à preuve du contraire, étant donné que ces deux scénarios sont les usages habituels de ce type d'équipements selon l'analyse d'OCIRIA [3].

Comment savoir si vous êtes vulnérable

Il n'existe pas de méthode simple pour le « voir à l'œil nu » depuis l'intérieur du bureau : il faut regarder depuis l'extérieur, comme le ferait un attaquant. Les étapes raisonnables sont les suivantes :

1. Faire l'inventaire des équipements Check Point dont dispose l'organisation et de la version de firmware qu'ils exécutent.

2. Vérifier la surface exposée sur internet : quels ports et services VPN sont visibles depuis l'extérieur du réseau de l'entreprise, car ce sont les points d'entrée exploités par ce type de faille.

3. Examiner les journaux (logs) de négociation de certificats sur les gateways, en recherchant des tentatives de connexion anormales ou des rejets de certificat inhabituels, puisque la faille se produit précisément à cette étape [3].

4. Comparer la version installée avec l'avis officiel du fabricant, qui est le seul à déterminer avec précision quelles versions (builds) spécifiques sont concernées.

Comment protéger votre entreprise

• Appliquez le correctif en priorité absolue sur les gateways et firewalls Check Point dès que le fabricant publie ou confirme la mise à jour correspondante ; étant inscrite au catalogue CISA KEV, il s'agit d'une vulnérabilité déjà exploitée, et non d'un simple avertissement préventif [2].
• Auditez les connexions VPN actives, tant d'accès distant que Site-to-Site, en recherchant des sessions ou des adresses IP d'origine que vous ne reconnaissez pas [3].
• Examinez les logs de certificats des derniers jours afin de détecter d'éventuelles tentatives d'exploitation antérieures à l'application du correctif [3].
• Réduisez l'exposition en attendant le correctif : si possible, restreignez temporairement l'accès au service VPN à des plages d'adresses IP connues ou activez des couches d'authentification supplémentaires.
• Documentez l'inventaire de tous les équipements de la famille de produits concernée, y compris ceux que l'analyse d'OCIRIA identifie comme potentiellement liés [3], afin de ne laisser aucune zone d'ombre en matière de visibilité.

Questions fréquentes

Est-ce une vulnérabilité déjà exploitée ?

Oui, elle figure dans le catalogue CISA KEV, qui recense spécifiquement les vulnérabilités dont l'exploitation active est connue [2].

Quel est son niveau de gravité selon les normes officielles ?

Critique, avec un score CVSS de 9.8 sur 10 [1].

Affecte-t-elle uniquement le Security Gateway ou aussi d'autres équipements comme le firewall Spark ?

La description officielle du fabricant mentionne le Quantum Security Gateway [1]. Selon l'analyse d'OCIRIA, le firewall Spark pourrait également être concerné en raison du partage de composants VPN [3], bien qu'il convienne de le vérifier directement avec le fabricant avant d'écarter ou de confirmer l'impact sur cet équipement.

Dois-je être un expert technique pour comprendre si je suis concerné ?

Pas nécessairement, mais vous devez savoir quels équipements vous possédez et s'ils sont exposés sur internet ; cet inventaire et cette visibilité constituent la première étape, quelle que soit la personne qui s'en charge au sein de l'entreprise.

Sources

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-85102
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json
• [3] https://ociria.com