Check Point corrige un débordement de pile qui donne le root sans authentification sur ses serveurs de management

17 septembre 2026. Check Point publie un correctif d’urgence pour CVE-2026-91843, un débordement de pile noté CVSS 9.8 dans le processus de connexion de ses serveurs de management et de log. 9 septembre. L’éditeur avait déjà colmaté deux failles CVSS 9.8 dans le traitement de ses certificats VPN. En huit jours, c’est donc la deuxième alerte critique touchant l’écosystème Check Point. Pourquoi c’est important : cette fois, la cible n’est pas la passerelle, mais le plan de management — le poste qui concentre l’administration de toutes les politiques de sécurité.

Pourquoi le serveur de management est la cible la plus chère

La distinction est la même chez tous les éditeurs de pare-feu : d’un côté, la passerelle qui fait passer le trafic ; de l’autre, le serveur de management qui décide de tout le reste. Chez Check Point, le Security Management Server centralise l’administration, le déploiement des politiques, la journalisation et la visibilité de l’ensemble des gateways d’une organisation. Le Log Server réceptionne et stocke la télémétrie de sécurité. Le Multi-Domain décline la même logique pour les grands environnements cloisonnés en domaines.

Une compromission de cette couche ne vole pas un flux chiffré ni une session utilisateur : elle offre à l’attaquant le contrôle des règles de filtrage, des comptes administrateurs, de la configuration réseau et des journaux de sécurité. C’est la différence entre un cambriolage dans une pièce et la prise du poste de garde central — l’attaquant peut ouvrir les portes, effacer les traces de son passage et verrouiller les défenseurs dehors.

C’est précisément ce qui rend CVE-2026-91843 plus dangereuse que la moyenne des failles produit : elle frappe avant l’authentification, sur un service destiné à des administrateurs, et débouche sur du code arbitraire en root.

Ce que fait précisément la faille

La vulnérabilité est un débordement de pile (stack overflow) dans la routine de connexion du Security Management Server, du Multi-Domain Security Management Server, du Log Server et du Multi-Domain Log Server. Selon l’éditeur, une requête d’authentification spécialement forgée déclenche le débordement avant même que l’utilisateur ne se connecte — autrement dit, un attaquant sans aucun compte peut provoquer l’exécution de code à distance avec les privilèges les plus élevés du système.

Le mécanisme exact n’a pas été publié en détail, mais la conséquence est sans ambiguïté : le plan de management passe sous le contrôle d’un tiers non authentifié. Et comme l’a signalé l’éditeur lui-même, la vérification de l’exploitation ne repose pas sur des hypothèses : les administrateurs doivent rechercher dans les journaux SmartConsole Audit et les logs de connexion Admin le message « Administrator failed to log in: Username too long ». Ce libellé — un nom d’utilisateur trop long refusé — est l’indicateur fourni par le constructeur pour repérer une tentative d’exploitation, surtout lorsqu’il provient d’une IP inhabituelle, non approuvée ou directement exposée sur Internet.

Versions touchées, versions épargnées

Le périmètre est large. Sont concernées les générations suivantes :

• R82.20, toutes les versions avant correctif ;
• R82.10, jusqu’au Jumbo Hotfix Take 44 inclus ;
• R82, jusqu’au Jumbo Hotfix Take 126 inclus ;
• R81.20, jusqu’au Jumbo Hotfix Take 166 inclus ;
• R81.10, jusqu’au Jumbo Hotfix Take 190 inclus ;
• les branches plus anciennes R80, R80.10, R80.20, R80.30, R80.40 et R81, arrivées en fin de support.

Deux cas font exception. Les environnements Smart-1 Cloud ne sont pas vulnérables, le correctif ayant déjà été appliqué au service managé. Et les organisations qui ont activé la mise à jour automatique dans la configuration recommandée par l’éditeur sont protégées sans intervention — un argument de plus pour ne pas désactiver cette option sur du matériel de sécurité.

Deux failles CVSS 9.8 en huit jours

CVE-2026-91843 ne tombe pas dans un vide. Le 9 septembre 2026, Check Point avait déjà colmaté CVE-2026-85102 et CVE-2026-85103, deux failles CVSS 9.8 dans la validation et le décodage de ses certificats VPN, exploitables sans authentification pour exécuter du code à distance. Le NCSC néerlandais jugeait alors l’exploitation imminente.

Huit jours plus tard, le scénario se répète sur une cible plus sensible encore. La lecture croisée des deux événements change la nature du signal : ce n’est plus « un éditeur corrige une faille », mais « un éditeur subit une pression soutenue sur ses surfaces d’administration et de chiffrement ». Deux alertes root sans authentification en une semaine, ce n’est plus de la malchance, c’est un profil de cible — et les attaquants l’ont compris avant les défenseurs.

La conséquence opérationnelle est double. D’abord, le rythme de correctif d’urgence de Check Point doit entrer dans la surveillance continue de l’éditeur, au même titre que ses produits : un abonné qui découvre l’alerte trois jours après sa publication a déjà perdu. Ensuite, la chasse ne doit pas attendre le correctif : le message « Username too long » dans les journaux d’administration est un indicateur que l’éditeur fournit précisément pour ça, et il vaut la peine d’être recherché avant même de déployer le patch.

# Rechercher l'indicateur d'exploitation dans les journaux d'administration
grep -R "Username too long" "$FWDIR/log/" 2>/dev/null

$FWDIR désigne le répertoire d’installation Check Point, là où le serveur de management écrit ses journaux. Une occurrence venue d’une IP inconnue est un signal à escalader immédiatement.

Corriger, valider, restreindre

La correction passe par le canal d’urgence de Check Point : un LivePatch, et non un Jumbo Hotfix classique. Les lots publiés sont le LivePatch Take 29 pour R82.20, et le Take 28 pour R82.10, R82 et R81.20. À déployer sur chaque serveur de management, multi-domain et log — pas seulement sur la passerelle.

La validation ne se fait pas à l’œil nu. En mode Expert, la commande cplp list doit afficher le patch fwm:fwm comme « armed » avec une référence explicite à CVE-2026-91843 :

# Mode Expert — vérifier que le LivePatch est armé
cplp list
# Sortie attendue : fwm:fwm  armed  livepatch CVE-2026-91843

Si la ligne n’apparaît pas, le patch n’est pas actif — il faut relancer l’installation, pas « supposer que c’est bon ».

La mesure de confinement est tout aussi prioritaire que le patch. Check Point recommande de restreindre les Trusted Clients de SmartConsole à des adresses IP ou sous-réseaux explicitement approuvés, et surtout de ne jamais laisser le Client Type sur « Any ». Un serveur de management n’a aucune raison d’être joignable depuis tout l’Internet ; le laisser en exposition large, c’est offrir à la faille la portée d’un tir direct.

Verdict

CVE-2026-91843 n’est pas une anomalie isolée, mais le second CVSS 9.8 Check Point en huit jours — après les failles de certificats VPN du 9 septembre. Le schéma est instructif : un acteur qui concentre les fonctions d’administration et de log devient une cible prioritaire, et une faille root sans authentification sur cette couche annule des années de posture de défense. Si vous exploitez un serveur de management Check Point, appliquez le LivePatch correspondant à votre branche dès maintenant, validez avec cplp list, puis restreignez les Trusted Clients à vos seuls postes d’administration — dans cet ordre. Si vos serveurs de management sont joignables depuis Internet, traitez l’exposition comme une compromission potentielle et relisez les journaux à la recherche de « Username too long » avant de refermer l’accès. Si vous êtes en Smart-1 Cloud, vous êtes couverts côté correctif, mais profitez-en pour auditer qui a accès à la console : le maillon faible est rarement celui qu’on vient de patcher.

Références

• Check Point — SK1000155, « CVE-2026-91843 - Stack overflow in login process to the Security Management and Log Servers »
• The Hacker News — « Critical Check Point Management Flaw Lets Unauthenticated Attackers Run Code as Root » (17 septembre 2026)
• Cyber Press — « Critical Check Point Flaw Lets Remote Attackers Gain Root Code Execution Without Login »
• Security Affairs — « Check Point Fixes Critical CVE-2026-91843 Allowing Root Code Execution »
• aicybr — « Check Point CVE-2026-91843: Patch the Management and Log Server Root RCE »