Check Point colmate deux failles CVSS 9.8 dans le traitement de ses certificats VPN

9 septembre 2026. Check Point publie un correctif pour deux failles dans le traitement des certificats VPN de ses pare-feux et de sa console de management. 10 septembre 2026. Les deux identifiants, CVE-2026-85102 et CVE-2026-85103, apparaissent avec un score CVSS 9.8 chacun. 12 septembre 2026. Le NCSC néerlandais publie un avertissement : l’exploitation de ces failles est « imminente ». En trois jours, deux bugs de certificats inconnus sont devenus une urgence de périmètre — et c’est la troisième fois en quatre mois que le traitement des certificats VPN de Check Point revient sur la table.

Deux failles jumelles dans le traitement des certificats

Les deux vulnérabilités touchent la même couche, celle qui valide les certificats échangés pendant la négociation VPN. Elles restent néanmoins distinctes dans leur mécanisme.

CVE-2026-85102 est un défaut de validation de la confiance des certificats pendant la négociation VPN. Sa fiche CVE indique qu’un attaquant distant non authentifié peut exécuter du code sur le Security Gateway. Le mot-clé est « confiance » : le composant ne vérifie pas correctement ce qu’il accepte comme certificat légitime, ce qui ouvre la porte à un certificat forgé.

CVE-2026-85103 est un débordement de tampon sur le tas qui survient au décodage de la structure ASN.1 d’un certificat VPN. Sa fiche indique qu’un attaquant distant non authentifié peut exécuter du code sur Quantum Security Management et sur Quantum Security Gateway. Là, le problème n’est plus la confiance mais la robustesse du parseur : une structure ASN.1 malformée fait déborder le tampon et permet de prendre la main.

Check Point a attribué lui-même les identifiants et les scores 9.8 — le plafond de l’échelle, réservé aux failles exploitables sans interaction ni authentification. La société affirme avoir découvert les deux failles en interne et n’avoir « aucune indication » qu’elles aient été exploitées. C’est rassurant, mais le correctif est livré alors que la fenêtre d’exploitation est encore ouverte pour quiconque sait lire un bulletin.

Un périmètre qui s’étend au-delà du VPN

Le champ des produits concernés dépasse le seul pare-feu. L’avis du Centre canadien pour la cybersécurité, publié le soir même, énumère une liste plus large que celle des fiches CVE : Security Gateway, Security Management Server, et Spark Firewall, la gamme de boîtiers pour petites entreprises. Spark apparaît deux fois, selon que le déploiement utilise ou non un VPN site-à-site ou d’accès distant.

Un détail du fil de discussion client de Check Point rend la situation plus inconfortable. Interrogé sur le point de savoir si CVE-2026-85103 touche un boîtier dont la lame VPN est désactivée, un membre du personnel répond que le problème porte sur le traitement des certificats, et qu’il peut donc, en théorie, être déclenché dans un environnement sans VPN mais où des certificats VPN sont présents. Autrement dit, désactiver la lame VPN ne suffit pas forcément à se mettre à l’abri : la surface d’attaque tient aux certificats eux-mêmes, pas au service qui les consomme.

Les versions listées comme affectées couvrent trois branches Quantum : R82.10 (Jumbo Hotfix Take 43 ou inférieur), R82 (Take 125 ou inférieur) et R81.20 (Take 165 ou inférieur). Aucune information de version n’est donnée pour le reste du catalogue, ce qui oblige les équipes à vérifier elles-mêmes leur niveau de correctif plutôt que de se fier à une liste fermée.

Une surface qui récidive

Le point le plus important n’est pas technique, il est statistique. En juin 2026, Check Point corrigeait CVE-2026-50751, un contournement d’authentification dans la validation des certificats de Remote Access VPN et de Mobile Access, déjà exploité au moment de l’annonce — la CISA l’a inscrite au catalogue KEV le 8 juin. En juillet 2026, Check Point corrigeait CVE-2026-16232, un contournement d’authentification de SmartConsole, ajouté au KEV le jour même de sa divulgation, et qui touchait le Security Management Server — le même composant que CVE-2026-85103 atteint aujourd’hui.

Trois épisodes, quatre mois, une même famille : la validation des certificats et la console de management. Ce n’est plus une coïncidence, c’est un motif. Quand un éditeur de sécurité revient trois fois sur la même couche, le signal pour un RSSI est clair : le traitement des certificats est devenu, chez Check Point, une surface à auditer en continu — pas un composant qu’on patche une fois pour toutes.

Corriger : Live Patch ou Jumbo Hotfix

Check Point propose deux chemins de correction. Le premier est le Live Patch, poussé automatiquement aux clients qui l’utilisent, avec un déploiement commencé le 9 septembre. Un employé précise dans le fil que le correctif s’installe au-dessus de n’importe quel niveau de Jumbo Hotfix sur R81.20, R82.00 et R82.10. Le second est le Jumbo Hotfix classique : installer la dernière version disponible pour sa branche.

Les retours clients du fil sont moins lisses que la communication officielle. Plusieurs comptes signalent que le déploiement automatique ne les avait pas encore atteints le jour de l’annonce, avec des boîtiers toujours sur Take 17 ou Take 18 du paquet de sécurité urgent. D’autres indiquent que les liens de téléchargement des deux avis ne fonctionnaient pas, tandis que le lien de l’article Live Patch répondait. Le correctif existe ; sa distribution est, elle, en cours.

Pour vérifier le niveau exact d’un boîtier, la commande standard reste :

# afficher la version et le niveau de Jumbo Hotfix Take
show version all

Le Take affiché doit être supérieur aux seuils vulnérables (43 pour R82.10, 125 pour R82, 165 pour R81.20). Un boîtier sous un Take plus bas, et non couvert par le Live Patch, reste exposé jusqu’à l’installation du Jumbo Hotfix.

Ce que vous devez faire maintenant

L’ordre des opérations est dicté par le NCSC néerlandais autant que par l’éditeur : traiter la faille avant l’exploitation, pas après.

• Activez ou vérifiez le Live Patch sur l’ensemble du parc Quantum : c’est le chemin le plus rapide, déployé sans redémarrage de service.
• Montez en Jumbo Hotfix sur les trois branches concernées — R82.10 (au-delà du Take 43), R82 (au-delà du 125), R81.20 (au-delà du 165) — sans attendre que le Live Patch vous atteigne.
• Traitez les certificats comme une surface : désactiver la lame VPN ne protège pas d’un boîtier qui porte encore des certificats VPN ; isolez les boîtiers dont les certificats sont inutilisés.
• Restreignez l’accès au Security Management Server : c’est la cible de CVE-2026-85103, et déjà celle des épisodes de juin et juillet. La console de management ne doit jamais être joignable depuis Internet.

La leçon de fond est la même qu’en juin : un correctif n’est une clôture que s’il est installé. Le KEV de la CISA ne s’est pas encore prononcé sur ces deux identifiants, mais l’historique des trois derniers mois — deux inscriptions en deux mois — suggère que ce n’est qu’une question de jours si une campagne s’amorce.

Verdict

CVE-2026-85102 et CVE-2026-85103 ne sont pas des exploits confirmés : ce sont deux failles CVSS 9.8 corrigées avant exploitation connue, avec un NCSC néerlandais qui juge la mise à l’épreuve imminente. Le correctif existe et se distribue par Live Patch comme par Jumbo Hotfix.

Si vous opérez des Security Gateway ou une Security Management Server, appliquez le Live Patch immédiatement, puis planifiez la montée en Jumbo Hotfix. Si un boîtier ne peut pas être patché dans la journée, isolez-le du périmètre Internet et retirez les certificats VPN inutilisés — mais considérez cela comme un sursis, pas une parade. La vraie conclusion dépasse l’incident : une surface de certificats qui cède trois fois en quatre mois exige une remise à plat de la supervision de ce composant, pas un énième correctif d’urgence.

Références

• Check Point — avis CVE-2026-85102 et CVE-2026-85103 (Security Gateway / Security Management Server), 9 septembre 2026
• BleepingComputer — Dutch NCSC: Critical Check Point VPN flaws exploitation is imminent, 12 septembre 2026
• The Hacker News — Check Point Discloses Two 9.8-Rated VPN Certificate Flaws Enabling Unauthenticated RCE, 10 septembre 2026
• Centre canadien pour la cybersécurité — avis Check Point, 9 septembre 2026
• CISA — Known Exploited Vulnerabilities Catalog