Check Point lance CVE-2026-91843 patch qui permet de pré-authentification CER sur les serveurs CVE-2026-91843

Check Point a publié un correctif urgent pour une défaillance critique dans leurs Serveurs de gestion de la sécurité et Log Servers qui, selon l'entreprise, permet à un attaquant à distance sans identifiant d'exécuter du code avec des privilèges root. L'erreur, enregistrée comme CVE-2026-91843 et qualifié par Check Point avec un 9,8 / 10 sur l'échelle CVSS, est un débordement de pile qui est activé dans la routine de connexion avant que l'utilisateur est authentifié; les enquêtes publiques soulignent que l'échec est causé par l'envoi d'une demande de connexion avec un très long nom d'utilisateur.

Faits confirmés : Check Point a publié un LivePatch pour atténuer la vulnérabilité (consulter dans sa base de connaissances : sk1000155), a déclaré qu'il n'y a aucun signe d'exploitation dans des environnements réels et a noté que la voie vulnérable fonctionne uniquement par l'ajustement Clients fiables, qui définit quels hôtes peuvent se connecter au serveur de gestion via SmartConsole. L'agence américaine de cybersécurité. Les États-Unis (CISA) ont enregistré le "non" de l'exploitation dans leur évaluation associée au CVE et au NVD. NVD - CVE-2026-91843).

À qui elle touche: Gestion de la sécurité et serveurs de log dans les branches et versions indiquées par Check Point. La liste publiée comprend plusieurs branches R80 / R81 / R82 et différents niveaux de Jumbo Hotfix Take; en outre Check Point a confirmé que R82.20, les déploiements autonomes (gestion et passerelle sur la même machine), les serveurs Log et les serveurs Multi-Domain sont également affectés et nécessitent une intervention de patch ou de support s'ils sont dans des versions hors support. Les organisations qui laissent la composante de gestion directement exposée à Internet ou avec la configuration des clients de confiance mis à "tout" sont les plus vulnérables.

Comment ça marche techniquement (résumé) : le processus de connexion de Management Server traite les applications avant d'authentifier l'utilisateur. Une pile déborde dans cette routine peut être déclenchée avec une entrée particulièrement longue dans le champ du nom d'utilisateur. Dans une opération réussie, l'attaquant pourrait corrompre la pile et rediriger l'exécution pour obtenir du code avec les privilèges système (root) sur le serveur distant. Puisque le vecteur opère la pré-authentification, l'exigence d'identification est évitée et la principale restriction est que les hôtes peuvent avoir à parler à ce service - d'où la pertinence du paramètre Clients Trusted.

Conséquences réelles possibles (confirmées comme des scénarios techniques, pas comme des incidents connus) : une URCE comme racine dans le serveur de gestion permet de modifier les politiques de pare-feu, de créer ou de modifier des comptes administratifs, d'extraire ou de supprimer des journaux judiciaires stockés dans les serveurs de connexion et, dans les environnements où la gestion et les passerelles sont combinées, de compromettre directement le trafic protégé par les passerelles. Cela peut entraîner une interruption du service, une perte de visibilité et une montée latérale dans le réseau.

Informations encore incertaines ou estimations: il n'y a pas de preuve publique d'exploitation fonctionnelle (Censys a signalé qu'il n'y avait pas de CP public au moment de leurs notes) et Check Point / CISA prétendent n'avoir aucune preuve d'exploitation de masse; cependant, il n'est pas jetable qu'il y ait un code d'exploitation privé ou une tentative d'abus non déclarée. Censys a également signalé qu'il détecte des milliers d'hôtes qui présentent l'identité par défaut des serveurs de gestion (3 836 dans son observation), mais c'est une présence de rôle estimée et C'est pas vrai. est équivalent à un nombre confirmé de systèmes vulnérables ou périmés ( Censys).

Mesures spécifiques et immédiates à prendre par les gestionnaires (priorité): 1) Appliquer le LivePatch décrit dans sk1000155 à tous les serveurs de gestion de la sécurité et les serveurs de log. Si les mises à jour automatiques sont activées, n'assument pas de protection : vérifiez que LivePatch a été installé et est actif en utilisant l'utilitaire Check Point (par exemple, la commande cplp list pour voir LivePatchs installé et son état). 2) Des clients fiables: confirmer que la liste des clients de confiance ne contient que des IP ou des plages explicites et fiables; ne laissez pas l'option dans « n'importe quel » ou n'autorisez pas l'accès à partir de l'Internet public. 3) Évitez d'exposer les serveurs de gestion à Internet: placez l'accès à l'administration derrière les VPN ou sautez les hôtes avec des contrôles d'accès, et en toute sécurité réseau afin que seuls les hôtes de gestion autorisés puissent atteindre les serveurs de gestion.

Mesures supplémentaires et bonnes pratiques (recommandées) : déploiement immédiat de contrôles compensatoires tout en appliquant le patch : bloquer l'accès aux services de gestion à partir de réseaux peu fiables, revoir et renforcer les politiques de gestion, et exiger l'authentification multi-facteurs pour les comptes dotés de privilèges administratifs. Pour les versions qui sont hors de support et ne reçoivent pas automatiquement LivePatch, ouvrez un ticket de point de contrôle pour obtenir la correction que l'entreprise indique que vous pouvez fournir.

Ce qu'il faut examiner après l'application du correctif : vérifier les changements administratifs récents (politiques créées / modifiées), rechercher des comptes administratifs nouveaux ou élevés, examiner les journaux de connexion et les événements suspects les jours précédents, vérifier l'intégrité des binaires critiques et des sauvegardes de configuration, et surveiller le trafic inhabituel entre les serveurs de gestion et les passerelles. En cas de signes d'engagement, isoler le serveur affecté et contacter le support du point de contrôle et votre équipe d'intervention en cas d'incident.

Lors de la livraison des patchs et des horaires: Check Point distribue des corrections critiques pour son canal LivePatch et pour les paquets Jumbos; cependant, la société a reconnu que la livraison des correctifs automatiques peut être faite par étapes, de sorte que l'absence d'un correctif dans une installation n'implique pas un manque d'un disponible - donc la nécessité de vérifier son installation explicitement.

Sources officielles et ressources pour une action immédiate: la note de base de connaissances du point de contrôle avec atténuation (sk1000155) et l'onglet CVE dans NVD ( NVD - CVE-2026-91843) sont des points de départ; pour le contexte de l'exposition du public et de la numérisation, voir les travaux et les observations du public de Censys ( Censys). La liste des vulnérabilités exploitées par la CISA devrait également être consultée pour voir si la situation évolue ( CISA - Vulnérabilités exploitées connues).

Résumé : La vulnérabilité est grave pour permettre l'exécution à distance avant l'authentification et pour un éventuel contrôle total du serveur de gestion. Par conséquent, l'action immédiate et vérifiable est d'installer le LivePatch dans tous les serveurs de gestion et de registre, de restreindre les clients de confiance aux adresses connues et d'éviter toute exposition directe à Internet tout en complétant la mise à jour et en effectuant une vérification médico-légale de base. Confirmée ou non, la stratégie opérationnelle doit prioriser le patching et le durcissement pour fermer un vecteur qui facilite le contrôle total de la gestion du réseau.