Deux vulnérabilités critiques affectent les passerelles Check Point VPN et permettent une exécution de code à distance, sans authentification préalable. Le centre national de cybersécurité néerlandais (NCSC-NL) estime que leur exploitation est imminente : si vous exposez une passerelle Check Point sur Internet, le correctif est à appliquer aujourd’hui, pas à la prochaine fenêtre de maintenance.
Ce que font exactement ces deux failles
Les deux vulnérabilités se situent dans le traitement des certificats lors de la négociation VPN, c’est-à-dire avant qu’un utilisateur ne soit authentifié.
- CVE-2026-85102 : validation incorrecte des données de certificat pendant la négociation VPN. Un attaquant distant peut exécuter du code arbitraire sur une Security Gateway.
- CVE-2026-85103 : dépassement de tas (heap overflow) dans le décodeur ASN.1 des certificats VPN. L’exécution de code à distance vise cette fois les Security Gateways et les Security Management Servers.
La seconde est la plus préoccupante pour une PME : le serveur de management concentre la configuration de tout votre périmètre réseau. Le NCSC néerlandais précise qu’une exploitation réussie permettrait de prendre le contrôle complet du système, lire ou modifier des données confidentielles et interrompre l’activité. Aucun code d’exploitation public n’a été observé à ce jour, mais l’agence évalue la probabilité d’exploitation et l’impact comme élevés.
Quelles versions sont concernées
Les branches touchées sont R81.20, R82, R82.10, R81.10.x et R82.00.x, ainsi que les versions en fin de support R80 à R80.40, R81 et R81.10. La version R82.20 n’est pas affectée.
Si votre appliance tourne encore sur une branche en fin de support, vous êtes dans le cas le plus défavorable : pas de correctif, et une passerelle exposée. C’est une situation fréquente en PME, où l’appliance VPN a été installée une fois puis oubliée parce qu’« elle fonctionne ».
Que faire maintenant
- Identifiez votre version en console Check Point (
show version allou l’interface SmartConsole). Sans ce point de départ, le reste n’a pas de sens. Coût : dix minutes. - Vérifiez si Check Point Live Patch vous a déjà protégés. Selon Check Point, les utilisateurs de CPLP reçoivent les protections depuis le 9 septembre, sans redémarrage. Attention : ce mécanisme n’existe que pour R82.10, R82 et R81.20, et ne couvre pas toutes les configurations. Confirmez, ne supposez pas.
- Appliquez le correctif : LivePatch Take 24 pour R81.20, R82 et R82.10, ou les Jumbo Hotfix Accumulator correspondants (Take 166+ pour R81.20, Take 126+ pour R82, Take 44+ pour R82.10). Pour les boîtiers Spark, les builds R82.00.10 (2325+) et R81.10.17 (4968+).
- Restreignez les flux Site-to-Site VPN aux adresses IP de vos partenaires réels. C’est la recommandation explicite du NCSC-NL et la seule mesure qui réduit la surface d’attaque sans dépendre d’un correctif.
- Si vous êtes en fin de support, planifiez la migration cette semaine et, en attendant, filtrez en amont l’accès au port VPN depuis un pare-feu ou chez votre opérateur. Une passerelle non corrigeable exposée à Internet n’est pas un risque théorique.
- Relisez vos journaux sur les deux dernières semaines : connexions VPN hors horaires, échecs répétés de négociation IKE, création de comptes administrateurs, modifications de règles. Une exécution de code à distance ne laisse pas d’alerte d’échec d’authentification — c’est le changement de configuration qui trahit l’intrusion.
Pourquoi les passerelles VPN restent une cible de premier choix
Une passerelle VPN a trois propriétés qui en font une cible idéale : elle est exposée à Internet par définition, elle est rarement redémarrée, et elle a une vue sur l’ensemble du trafic entrant de l’entreprise. C’est le même schéma que pour les zero-days SonicWall SMA1000 ou les contournements d’authentification sur les outils RMM : l’équipement de périmètre est le point de compromission, pas le poste utilisateur.
Dans une PME sans équipe sécurité dédiée, ce type d’équipement échappe souvent au cycle de mise à jour parce qu’il n’est pas dans l’inventaire des serveurs. Si votre VPN n’est pas listé quelque part avec un responsable, une version et une date de dernier correctif, la question n’est pas de savoir si vous raterez le prochain avis, mais lequel.
Une exploitation de passerelle VPN se détecte à ses effets — connexions anormales, modification de règles, mouvement latéral — et cela suppose une surveillance continue des journaux : découvrez notre SOC managé 24/7 pour PME et ETI.
Ce qu’il faut retenir
- Deux failles critiques (CVE-2026-85102 et CVE-2026-85103) permettent l’exécution de code à distance sans authentification sur Check Point VPN.
- Le NCSC néerlandais attend une exploitation imminente, malgré l’absence de code d’exploitation public.
- Les correctifs existent depuis le 9 septembre : LivePatch Take 24 ou les Jumbo Hotfix correspondants.
- Les versions en fin de support (R80 à R81.10) ne seront pas corrigées : filtrez en amont et migrez.
- Restreignez les règles Site-to-Site aux IP de confiance et relisez vos journaux VPN sur quinze jours.