CVE-2026-93616 : vulnérabilité critique chez Check Point exploitée activement

CVE-2026-93616 : vulnérabilité critique chez Check Point exploitée activement

En bref

CVE-2026-93616 est une vulnérabilité critique (CVSS 9.8) qui affecte les serveurs de gestion de Check Point et permet à un attaquant, sans besoin de s'authentifier, de téléverser et d'exécuter des fichiers arbitraires sur le système [1]. Elle est confirmée comme étant exploitée activement et figure au catalogue des vulnérabilités exploitées connues de CISA (KEV) [2]. Si votre organisation utilise Check Point pour gérer la sécurité périmétrique, agir dès aujourd'hui est prioritaire : la première étape consiste à identifier quels serveurs de gestion Check Point vous avez exposés et à appliquer sans délai la mise à jour correspondante du fabricant.

Qu'est-ce que c'est et pourquoi c'est important

La vulnérabilité est de type path traversal (traversée de répertoires) combinée à un téléversement de fichiers. En termes simples : un attaquant externe peut tromper le serveur pour qu'il accepte et exécute un script dans un emplacement où il ne devrait pas avoir la permission, sans besoin d'identifiants valides. Le fabricant concerné est Check Point et la faille se concentre sur son serveur de gestion (Security Management Server) et sur le serveur de journaux (Log Server) [1].

Le CVSS attribué est de 9.8 sur 10, qualifié de critique, et la vulnérabilité a été publiée le 22 septembre 2026 [1]. Ce qui élève particulièrement le niveau d'urgence, c'est qu'il ne s'agit pas d'un risque théorique : elle est incluse dans le catalogue KEV de l'agence américaine CISA, qui n'ajoute que des vulnérabilités avec des preuves d'exploitation active dans le monde réel [2]. Depuis le radar de veille d'OCIRIA, nous considérons ce type de faille comme particulièrement sensible car le serveur de gestion n'est pas un actif comme un autre : c'est le point à partir duquel sont administrées les règles de pare-feu et la sécurité de tout le réseau périmétrique, de sorte que sa compromission peut offrir à un attaquant une position de contrôle bien supérieure à celle d'un serveur individuel [3].

Qui est concerné

Cela affecte les organisations qui utilisent des produits Check Point dans leur infrastructure de gestion de la sécurité [1]. Si votre entreprise travaille avec Check Point pour administrer des pare-feux, des passerelles ou des politiques de sécurité réseau, cet avis vous concerne directement. Le niveau d'exposition réel dépend du fait que le serveur de gestion ou le Log Server soient accessibles depuis l'extérieur du réseau de l'entreprise, ce qu'il convient de vérifier au plus vite.

Comment savoir si vous êtes vulnérable

La première étape consiste à faire un inventaire rapide : quels produits Check Point votre organisation a-t-elle déployés et dans quelle version ? La vulnérabilité affecte Check Point de manière générale selon les données officielles disponibles [1], c'est pourquoi, en cas de doute, il est prudent de traiter tout serveur de gestion Check Point comme potentiellement affecté jusqu'à confirmation du contraire par le fabricant.

Ensuite, examinez la surface exposée : vérifiez si le panneau d'administration, le serveur de gestion ou le service de journaux sont accessibles depuis internet ou depuis des segments de réseau peu contrôlés. Un actif de gestion qui ne devrait pas être exposé et qui l'est augmente considérablement le risque réel, même avant de confirmer la version exacte du logiciel.

Enfin, examinez les journaux et fichiers récents à la recherche de téléversements de fichiers inhabituels ou de scripts non reconnus dans les chemins du système de gestion, en particulier au cours des dernières semaines depuis la publication de la vulnérabilité [1].

Comment vous protéger

1. Mettez à jour immédiatement. Appliquez le correctif ou la version corrigée publiée par Check Point pour le Security Management Server et le Log Server, en suivant la procédure officielle du fabricant.

2. Restreignez l'accès de gestion. Si le serveur de gestion est accessible depuis des réseaux non fiables ou internet, limitez l'accès uniquement aux adresses IP d'administration connues via des listes de contrôle ou un VPN.

3. Examinez les fichiers et accès récents. Recherchez des scripts ou des fichiers téléversés sans justification dans les chemins du serveur de gestion, et conservez les journaux pour une analyse ultérieure si vous détectez quelque chose d'anormal.

4. Vérifiez votre exposition réelle. Étant donné que cette vulnérabilité est exploitée sans authentification, vérifier quels services de gestion sont réellement visibles depuis l'extérieur est une étape qu'aucune organisation utilisant Check Point ne devrait négliger.

5. Priorisez par rapport aux autres tâches de correction. Étant inscrite au catalogue KEV, cette vulnérabilité doit être traitée avec plus d'urgence qu'un correctif de routine [2].

Questions fréquentes

Dois-je être authentifié pour être concerné ? Non. La description officielle indique qu'un attaquant non authentifié peut exploiter la vulnérabilité [1].

Est-elle réellement exploitée ou s'agit-il d'un risque potentiel ? Il existe des preuves d'exploitation active, d'où son inclusion dans le catalogue KEV de CISA [2].

Affecte-t-elle uniquement une version précise de Check Point ? Les données officielles disponibles identifient Check Point comme vendeur affecté sans plus de détail de version spécifique dans cette fiche ; nous recommandons de confirmer directement avec le fabricant quelles versions exactes nécessitent une mise à jour.

Que dois-je faire si je ne sais pas si mon infrastructure est exposée ? Vérifier la surface exposée de vos systèmes de gestion est l'étape la plus rapide pour sortir du doute avant de décider des prochaines actions.

Sources

• [1] https://nvd.nist.gov/vuln/detail/CVE-2026-93616
• [2] https://raw.githubusercontent.com/cisagov/kev-data/develop/known_exploited_vulnerabilities.json