Check Point corrige CVE 2026 93616 chemin traversal dans le serveur de gestion après 23 attaques Jul

Le 23 juillet, des attaques ciblées ont été détectées qui ont profité d'une vulnérabilité jusqu'alors inconnue dans le service web du Security Management Server de Check Point, selon la société. L'échec, enregistré comme CVE-2026-93616, permet à un attaquant d'atteindre le service web du serveur pour télécharger et exécuter des scripts sans authentification. Check Point a publié une correction le 22 septembre et a publié des lignes directrices sur l'atténuation et la recherche d'engagements concernant son soutien technique.

Faits confirmés : Check Point a reconnu l'existence d'une vulnérabilité chemin-chemin dans le service web du serveur de gestion qui, dans les versions touchées, ne limite pas correctement les fichiers et dossiers accessibles par des requêtes distantes. Cet échec peut être utilisé pour placer des scripts sur le serveur et les exécuter. La société a attribué un score CVSS de 9,8, a publié un hotfix et des guides sur son portail de support ( support.checkpoint.com). En outre, Check Point a confirmé des tentatives d'exploitation à partir du 12 septembre contre une autre vulnérabilité VPN (CVE-2026-85102) qui avait été garée le 9 septembre; ces tentatives visaient des dispositifs Spark et des passerelles qui n'avaient pas reçu la correction.

Ce qui demeure incertain et nécessite une confirmation supplémentaire: Check Point n'a pas identifié publiquement les objectifs spécifiques des attaques du 23 juillet, qui étaient les attaquants et quelles actions concrètes ils ont prises après avoir exploité CVE-2026-93616. Elle n'a pas non plus indiqué si les tentatives contre la vulnérabilité VPN (CVE-2026-85102) ont réussi dans n'importe quel environnement. La société a indiqué que les tentatives provenaient de l'infrastructure d'anonimisation (VPN et proxies) et que des certificats ont été observés avec certains sujets, mais la liste des certificats observée n'est pas nécessairement exhaustive.

Techniquement, la nouvelle vulnérabilité est chemin traversant dans le composant web du serveur de gestion: lorsque le service ne limite pas correctement les itinéraires de fichiers demandés, une requête manipulée peut accéder à des emplacements en dehors de l'arborescence prévue, télécharger des fichiers malveillants et les exécuter. Cette chaîne - l'accès au service Web sans authentification, le téléchargement de scripts et l'exécution - transforme la vulnérabilité en un vecteur d'exécution de code à distance avec un impact potentiellement critique sur la confidentialité et l'intégrité de la gestion des politiques de pare-feu.

À qui ça sert ? Les versions et les bâtiments touchés sont listés par Check Point avec granularité par "R" et par Jumbo Hotfix numéro "Take". Sur le plan pratique, le risque est pour les gestionnaires qui gèrent les serveurs de gestion de la sécurité - central qui contrôle les politiques et distribue les paramètres aux passerelles - et pour les clients Spark et passerelles qui, s'ils ne sont pas dans le bâtiment désaffecté, peuvent également faire l'objet de tentatives d'exploitation antérieures ou parallèles. Comme le serveur de gestion contrôle les règles de sécurité et les objets, son engagement peut permettre à un attaquant de modifier les règles, de créer des itinéraires de sortie, de masquer le trafic ou de déployer la persistance dans l'infrastructure réseau.

Conséquences réelles et scénarios de risque: un serveur de gestion engagé peut faciliter les mouvements latéraux et la persistance dans le réseau d'entreprise, la modification des politiques de pare-feu (par exemple, l'ouverture de ports ou la création de règles permettant le trafic non autorisé), l'interception ou la redirection du trafic, et le déploiement de portes arrière dans des passerelles gérées. De plus, la difficulté à détecter une activité antérieure fait que la simple installation du dispositif transdermique ne prouve pas qu'il n'y a pas eu d'intrusion.

Mesures spécifiques et immédiates à prendre par les responsables de la sécurité- mesures vérifiables et hiérarchisées:

1) Vérifiez la version et le Jumbo Hotfix prendre du Security Management Server et comparez-le à la liste des bâtiments affectés fournie par Check Point. Si vous n'avez pas l'information, consultez l'interface de gestion et la documentation de votre publication. Installez le hotfix ou LivePatch indiqué dans l'article de support correspondant (référence dans le portail Check Point).

2) Suivez les guides de chasse et les indicateurs d'engagement que Check Point a publiés dans son article support (voir votre portail support pour sk1000171). Cela comprend l'examen des journaux de services Web, la recherche de fichiers et de scripts récemment téléchargés dans les répertoires Web, l'examen des emplois cron ou des tâches programmées, et la vérification des processus et connexions réseau anormaux.

3) Supposons la possibilité d'engagement si le serveur était dans une version vulnérable entre la fenêtre du 23 juillet et la publication du patch. Dans de tels cas, activer les mesures d'intervention en cas d'incident: mettre le serveur de gestion en mode de maintenance ou l'isoler du réseau, recueillir et préserver le journal et les preuves (avant d'appliquer des correctifs qui peuvent écraser les artefacts), et, si nécessaire, utiliser une analyse médico-légale professionnelle pour confirmer la portée et la présence des portes arrière.

4) Examiner l'intégrité des règles de configuration et de politique : comparer la sauvegarde des configurations antérieures avec l'état actuel, inspecter les modifications récentes aux règles qui ne sont pas justifiées et valider qu'il n'y a pas de comptes, d'objets ou de politiques en double ou modifiés sans autorisation.

5) Pour la vulnérabilité VPN (CVE-2026-85102): confirmez que les périphériques Gateways et Spark ont appliqué le patch publié le 9 septembre (article de support pertinent et atténuation dans sk1000117). Revue Mobile Accès et certificats utilisés pour la première session; Check Point a observé des tentatives avec des certificats utilisant CN = vpn, CN = vpn-user ou CN = sujets de type vpnuser, mais la liste peut ne pas être complète. Recherchez une session précoce avec des certificats en boîte et toute activité ultérieure comme des scans internes.

6) Si vous ne pouvez pas appliquer les correctifs immédiatement, implémentez les correctifs conseillés par les autorités telles que le NCSC néerlandais : par exemple, pour les VPN de site à site limiter le trafic entrant de UDP 500 / 4500 uniquement aux PI de paires connues et désactiver les règles implicites de VPN le cas échéant. Voir le guide du CNSC pour les instructions opérationnelles et appliquer des contrôles temporaires d'accès au réseau ( Pour plus d'informations, veuillez contacter:).

7) Rotation des références sensibles, certifiées et clés que Management Server peut avoir utilisées, une fois l'instance nettoyée ou reconstruite, et examen de l'accès aux comptes de gestion pour détecter des créations non autorisées ou des élévations de privilèges.

Recommandations et bonnes pratiques à moyen terme: tenir le cycle de patch à jour avec LivePatch / Attention (les différences entre Jumbo Hotfix et LivePatch peuvent laisser certains bâtiments partiellement protégés), séparer la console de gestion du réseau de production, appliquer des contrôles d'accès (listes de contrôle des sources) pour l'accès au service web de gestion, et permettre le suivi de l'intégrité et des alertes précoces sur les changements critiques de politique.

Ressources et références supplémentaires : Voir le portail d'assistance Check Point pour les notes officielles et les compilations corrigées, ainsi que les guides de réponse publiés par les équipes nationales de cybersécurité telles que le NCSC néerlandais et les équipes de réponse sectorielles (par exemple, le CERT Santé en France a publié des résumés qui amplifient la communication check point). Liens utiles: Contrôle de la prise en charge des points ( https: / / support.checkpoint.com) et aux Pays-Bas ( https: / / www.ncsc.nl), en plus du site du CERT ( https: / / www.cert.sante.gouv.fr).

La distinction finale : les correctifs et les mesures d'atténuation sont indispensables mais ne suffisent pas à déclarer un environnement « propre ». Comme Check Point n'a pas rendu publiques les preuves de l'ampleur des attaques de juillet, l'action responsable à l'égard des serveurs vulnérables est de les traiter comme potentiellement engagés jusqu'à ce qu'un processus de détection et, le cas échéant, une médecine légale, prouvent le contraire.