Check Point CVE-2026-91843 : RCE root sans auth CVSS 9.8

Les faits

Le 16 septembre 2026, Check Point a divulgué CVE-2026-91843, une vulnérabilité critique affectant Security Management Server et Log Server. Classée CVSS 9.8, la faille permet à un attaquant non authentifié d'exécuter du code arbitraire avec les droits root sur le serveur de gestion, représentant une compromission totale de l'infrastructure de sécurité administrée par ces équipements.

CVE-2026-91843 est un stack overflow survenant dans le processus de traitement des requêtes de login. Ce processus reçoit et traite les connexions avant toute phase d'authentification — il expose donc la vulnérabilité à n'importe quel attaquant ayant accès réseau au port de management de la plateforme. Le débordement est déclenché par une requête de connexion contenant un nom d'utilisateur anormalement long, suffisant pour corrompre la pile d'exécution et permettre le détournement du flux de contrôle vers un payload malveillant.

L'accès root obtenu sur un Security Management Server Check Point n'est pas une compromission ordinaire. Ce type de serveur centralise la définition de toutes les règles de pare-feu, politiques de sécurité, configurations VPN et logs d'événements de l'ensemble du parc d'équipements réseau d'une organisation. Un attaquant qui en prend le contrôle peut modifier silencieusement toutes les règles de filtrage pour ouvrir des passages dans le périmètre de sécurité, désactiver la journalisation pour couvrir ses traces, exfiltrer la configuration complète du réseau, ou prendre le contrôle des gateways VPN pour intercepter les connexions distantes.

Check Point a précisé dans son advisory que les clients avec les mises à jour automatiques activées sont déjà protégés par le LivePatch déployé en avance de la divulgation publique. Pour les autres, la correction consiste à appliquer manuellement le LivePatch sk1000155, disponible depuis le 16 septembre 2026 sur le portail de support Check Point. Au moment de la divulgation, aucune exploitation active n'avait été confirmée par Check Point ni par la CISA, qui a enregistré le statut d'exploitation comme "none" dans son évaluation du 17 septembre 2026.

CVE-2026-91843 est la cinquième faille critique de type pré-authentification divulguée sur les produits de gestion Check Point depuis le 22 juillet 2026. Cette accumulation, soulignée par The Hacker News, traduit une intensification marquée des efforts de recherche offensive ciblant ces produits. Cinq CVE critiques en moins de deux mois sur le même type de composant suggère que l'attention des chercheurs — et possiblement des acteurs malveillants — s'est concentrée de façon soutenue sur la surface d'attaque pré-authentification de Check Point.

La même semaine, Check Point a également publié les correctifs pour CVE-2026-85102 et CVE-2026-85103, deux failles distinctes affectant les VPN gateways Check Point, chacune classée CVSS 9.8. Ces deux vulnérabilités permettent également une RCE sans authentification, cette fois via le traitement des certificats dans le composant de gestion des connexions VPN. Kudelski Security Research Center et The Hacker News ont tous deux détaillé ces failles le 16 septembre 2026. La correction simultanée de trois CVE critiques CVSS 9.8 en une seule journée constitue un événement rare.

L'ensemble de ces failles — management server et VPN gateways — crée une surface d'attaque préoccupante sur les équipements qui constituent précisément le socle du périmètre de sécurité des entreprises. Ce schéma s'observe de façon croissante sur les équipements de sécurité réseau majeurs : Cisco ISE (CVE-2026-76460 et CVE-2026-20130 couverts ici début septembre), NetScaler (CVE-2026-19490), SonicWall, FortiGate, et désormais Check Point ont tous été touchés par des failles pré-authentification critiques en 2026.

Les organisations françaises utilisant Check Point Security Management Server doivent considérer cette divulgation comme prioritaire. Check Point est l'un des équipementiers les plus représentés dans les infrastructures des grandes entreprises et administrations françaises. La CERT-EU a publié l'advisory de sécurité 2026-012 concernant des vulnérabilités critiques dans les produits Check Point, soulignant l'urgence pour les organisations européennes.

Impact et exposition

Tous les déploiements de Check Point Security Management Server et Log Server sans le LivePatch sk1000155 sont exposés à CVE-2026-91843. Les gateways VPN Check Point sans correctif pour CVE-2026-85102 et CVE-2026-85103 le sont également. Les environnements où le port de management est joignable depuis un réseau non entièrement contrôlé présentent le risque le plus immédiat. En entreprise distribuée, un attaquant ayant accès au réseau interne peut atteindre ces services si aucune micro-segmentation n'isole le serveur de management.

Recommandations

• Appliquer le LivePatch sk1000155 : suivre immédiatement les instructions de l'advisory Check Point du 16 septembre 2026 pour le Security Management Server et le Log Server
• Patcher les VPN gateways : appliquer les correctifs pour CVE-2026-85102 et CVE-2026-85103 sur tous les gateways VPN Check Point, en priorisant ceux exposés directement sur internet
• Activer les mises à jour automatiques : si ce n'est pas encore le cas, configurer les mises à jour automatiques sur l'ensemble des produits Check Point pour garantir la réception des correctifs d'urgence dans les délais les plus courts
• Vérifier l'accès réseau au port de management : s'assurer que le port de management du Security Management Server n'est accessible que depuis des IP d'administration autorisées, bloquant tout accès depuis des segments réseau non nécessaires
• Rechercher des indicateurs de compromission : inspecter les logs du Management Server pour des connexions inattendues, des modifications de règles de pare-feu non documentées, ou des créations de comptes admin non planifiées depuis le 22 juillet 2026