Le 9 septembre 2026, Check Point a publié des correctifs pour deux vulnérabilités critiques liées aux certificats VPN, CVE-2026-85102 et CVE-2026-85103, toutes deux notées CVSS 9,8. La situation a évolué depuis : Check Point et le NCSC néerlandais signalent désormais l’exploitation de CVE-2026-85102. Le fournisseur indique observer depuis le 12 septembre des tentatives visant ses clients Spark.
Cette observation concerne CVE-2026-85102 et ne prouve pas qu’une passerelle particulière a été compromise. Elle ne doit pas non plus être étendue automatiquement à CVE-2026-85103. Les organisations doivent vérifier les versions et configurations concernées dans les avis officiels, appliquer le correctif correspondant et rechercher des signes d’activité anormale.
Les deux vulnérabilités et leur périmètre
CVE-2026-85102 concerne une validation incorrecte de données de certificat pendant la négociation VPN; elle peut permettre l’exécution de code à distance sans authentification sur une Security Gateway affectée. CVE-2026-85103 est un débordement de tas pendant le décodage ASN.1 des certificats VPN, qui peut aussi mener à une exécution de code sans authentification.
Les produits cités comprennent Check Point Security Gateway et Spark Firewall. L’avis de la Cyber Security Agency of Singapore inclut également Security Management Server dans le périmètre de CVE-2026-85103. Les versions touchées varient selon la CVE; R82.20 est indiquée comme non affectée dans cet avis. Vérifiez toujours le tableau à jour du fournisseur plutôt que de déduire l’exposition à partir du seul nom de produit.
Ce que l’on sait de l’exploitation
À la divulgation du 9 septembre, Check Point déclarait ne pas avoir d’indication d’exploitation. Le NCSC néerlandais a ensuite rapporté une exploitation de CVE-2026-85102. Dans une mise à jour ultérieure, Check Point précise avoir observé, à partir du 12 septembre, des tentatives visant des clients Spark dans plusieurs régions.
La recommandation pratique est claire : considérez CVE-2026-85102 comme exploitée et corrigez sans attendre. Pour CVE-2026-85103, les sources citées ici établissent sa gravité et la disponibilité de correctifs, mais ne rapportent pas la même observation d’exploitation. Cette distinction est importante pour éviter d’attribuer à une faille les faits concernant l’autre.
Correctifs et vérifications prioritaires
Recensez les Security Gateway, Spark Firewall et Security Management Server, leur version, leur build et les fonctions VPN actives. Consultez les avis Check Point SK1000117 et SK1000118, puis installez le Jumbo Hotfix ou le correctif recommandé pour chaque version. N’utilisez pas une procédure destinée à un autre build.
Après l’installation, confirmez le numéro de build et examinez les journaux de connexion VPN. Check Point recommande de rechercher les connexions Mobile Access par certificat inhabituelles et les activités suspectes qui peuvent suivre une session. La liste de noms de certificats publiée par l’éditeur n’est pas exhaustive : elle ne doit pas constituer l’unique filtre de recherche.
Si le déploiement du correctif doit attendre
Pour un VPN Site-to-Site qui ne peut pas être corrigé immédiatement, la Cyber Security Agency of Singapore relaie une mesure provisoire de Check Point : désactiver les règles VPN implicites et limiter les accès UDP 500 et 4500 aux adresses IP des pairs connus. Cette mesure n’est pas applicable aux Spark Firewall administrés localement.
Une restriction temporaire doit être validée par l’équipe réseau afin de ne pas interrompre un accès légitime. Elle ne remplace pas l’installation du correctif. Pour Remote Access VPN ou une configuration différente, suivez les instructions correspondantes dans l’avis du fournisseur plutôt que d’appliquer cette mesure hors de son périmètre.
Le lien avec Soclyde
Soclyde ne corrige pas les appliances Check Point et ne détecte pas leur exploitation. Son coffre chiffré local peut aider une équipe à conserver et partager les secrets d’accès uniques associés à ses équipements selon ses règles internes. Après une compromission suspectée, la révocation ou la rotation des identifiants doit être effectuée dans les systèmes concernés.
Pour structurer les pratiques d’accès d’une petite équipe, consultez le guide de partage des mots de passe en équipe et le guide pour créer des mots de passe sécurisés.
À retenir
CVE-2026-85102 est signalée comme exploitée; Check Point observe des tentatives depuis le 12 septembre. CVE-2026-85103 est une seconde faille critique, mais l’exploitation rapportée pour la première ne doit pas lui être attribuée sans preuve. Identifiez vos builds, appliquez les correctifs officiels et vérifiez les journaux VPN. Vous pouvez contacter Soclyde pour en savoir plus sur la gestion des secrets d’équipe.
