Check Point AV26-1154 : faille exploitée, vérifiez vos pare-feu avant ce week-end

Le Centre canadien pour la cybersécurité a publié le 12 novembre 2026 le bulletin AV26-1154 sur des vulnérabilités touchant plusieurs produits Check Point, puis l'a mis à jour le 13 novembre. L'une des deux failles, CVE-2026-123039, est exploitée dans la nature selon Check Point, et l'agence américaine CISA l'a ajoutée le 13 novembre à son catalogue des vulnérabilités connues et exploitées. Toute organisation canadienne qui exploite un pare-feu Check Point doit vérifier ses versions dès maintenant.

Ce que dit le bulletin AV26-1154

Le bulletin vise plusieurs versions de quatre familles de produits : les pare-feu Check Point, les serveurs de gestion et de journalisation, le Multi-Domain Security Management avec son serveur de journaux, ainsi que Maestro Orchestrator. Le Centre ne précise pas les numéros de version touchés. Il renvoie aux fiches du fabricant, SK1000362 pour la première faille et SK1000291 pour la seconde, où figurent les versions affectées et corrigées.

Deux vulnérabilités sont listées :

• CVE-2026-123039 : une élévation de privilèges locale jusqu'au niveau root dans le processus DynamicCLI, par l'entremise d'un socket de contrôle local accessible en écriture à tous. Check Point rapporte une exploitation active.
• CVE-2026-107484 : une faille de validation des entrées dans les gestionnaires du backend du portail Gaia, qui permet à un utilisateur authentifié d'obtenir des privilèges supérieurs.

Le bulletin ne donne pas de niveau de gravité. La mise à jour du 13 novembre souligne toutefois l'exploitation de la première faille et son inscription au catalogue CISA, ce qui justifie de traiter le dossier en priorité. Le Centre invite les administrateurs à installer les correctifs dès qu'ils sont disponibles et à suivre le blogue de sécurité de Check Point.

Pourquoi un pare-feu compromis change la donne

Un pare-feu se trouve à la frontière du réseau. Qui obtient les droits root sur cet équipement voit passer le trafic, peut modifier les règles et accède souvent aux comptes d'administration. Les deux failles du bulletin demandent un point d'entrée préalable : un accès local pour la première, un compte authentifié pour la seconde. Ce détail compte, car il déplace la question. Il ne s'agit plus seulement de bloquer un attaquant extérieur, mais de savoir qui possède un compte sur l'équipement, y compris les comptes de fournisseurs, d'anciens employés ou de partenaires.

Le bulletin n'indique pas comment les attaquants obtiennent cet accès initial, et il serait faux de spéculer. Ce que le texte établit, c'est qu'une exploitation est rapportée et qu'un correctif doit être appliqué sans attendre.

Dans une petite ou moyenne entreprise, la gestion du pare-feu est souvent confiée à un prestataire externe, parfois installé il y a des années. Personne n'a alors la liste à jour des comptes ayant accès à l'interface de gestion. C'est le premier point à clarifier, avant même de parler de correctif. Le même constat vaut pour d'autres alertes récentes, comme la faille Outlook exploitée qui préoccupe les PME : la vulnérabilité compte moins que le délai entre sa publication et l'application du correctif.

Ce qu'un spécialiste en informatique vérifie en premier

Un technicien en sécurité réseau commence par un inventaire, pas par le correctif. Les questions sont simples et chacune a une réponse vérifiable.

1. Quels équipements Check Point sont en service ? Pare-feu en périphérie, serveur de gestion, serveur de journaux, orchestrateur Maestro. Une succursale oubliée compte autant que le siège.
2. Quelle version tourne sur chacun ? La comparaison se fait avec les fiches SK1000362 et SK1000291 du fabricant, pas avec une supposition.
3. Qui peut se connecter à l'interface de gestion, et depuis où ? L'accès au portail Gaia devrait être limité à quelques adresses internes ou à un réseau d'administration distinct.
4. Les journaux montrent-ils des connexions inhabituelles depuis le 12 novembre ? Ils ne prouvent pas l'absence d'intrusion, mais une anomalie évidente mérite une enquête.
5. Existe-t-il une fenêtre de maintenance prévue ? Un correctif sur un pare-feu coupe parfois le trafic quelques minutes, ce qui se planifie.

Cette liste ne remplace pas la lecture des fiches du fabricant. Elle sert à arriver à la discussion avec le prestataire avec des réponses, plutôt qu'avec une inquiétude vague.

Un scénario type : une PME de 40 employés et deux pare-feu

Prenons une entreprise de distribution de 40 employés, avec un siège à Laval et un entrepôt à Longueuil, chacun protégé par un pare-feu Check Point. Un prestataire en infonuagique gère les deux depuis 2022. Le 13 novembre, la directrice administrative lit le bulletin du Centre canadien pour la cybersécurité et se demande si son entreprise est visée.

Voici la logique que suit un spécialiste, avec des chiffres de cet exemple fictif.

• Si l'inventaire confirme que les deux équipements figurent parmi les produits listés et que leurs versions sont dans la liste des fiches du fabricant, alors le correctif devient la priorité de la semaine. Deux équipements à mettre à jour, c'est environ deux fenêtres de maintenance de 30 minutes chacune, planifiées en soirée pour éviter l'arrêt de l'entrepôt.
• Si le prestataire ne peut pas dire qui détient un compte sur l'interface de gestion, alors il faut d'abord produire la liste des comptes. Pour 2 pare-feu et un serveur de gestion, une revue des comptes prend en général quelques heures, pas des jours. Chaque compte inutile se désactive avant le correctif.
• Si le correctif n'est pas encore disponible pour une version précise, alors le bulletin demande de l'installer dès sa sortie. D'ici là, restreindre l'accès à la gestion à deux adresses d'administration réduit la surface d'exposition, sans corriger la faille.
• Si les journaux révèlent une connexion à 3 h du matin depuis une adresse inconnue, alors l'entreprise sort du cadre d'une simple mise à jour et doit traiter un incident : isoler l'équipement, changer tous les mots de passe d'administration et conserver les journaux avant toute modification.

Le coût de cette démarche se compare à celui d'une intrusion. Une interruption de 30 minutes planifiée est un désagrément. Un pare-feu pris en charge par un tiers, sans que personne ne s'en aperçoive pendant des semaines, est un incident majeur. Cet exemple est illustratif : les durées et les chiffres varient selon la taille du parc et la qualité de la documentation.

Les erreurs fréquentes dans ce genre d'alerte

Plusieurs réflexes retardent la remédiation :

• Attendre que le fournisseur appelle. Le prestataire gère parfois des dizaines de clients et traite les alertes par ordre d'arrivée. Une question écrite de votre part, avec le numéro du bulletin AV26-1154, accélère la prise en charge.
• Confondre faille locale et faille sans danger. Une élévation de privilèges locale exige un accès préalable, mais cet accès existe souvent déjà : compte de service, session ouverte, poste infecté. Le bulletin rapporte d'ailleurs une exploitation réelle.
• Corriger sans inventaire. Mettre à jour le pare-feu principal et oublier le serveur de journaux laisse une partie du parc exposée, puisque le bulletin cite aussi les serveurs de gestion et de journalisation.
• Ne rien documenter. Après l'intervention, notez la version installée, la date et la personne responsable. Cette trace sert lors d'une vérification d'assurance ou d'un incident futur.

Obligations et assurances : un volet à ne pas ignorer

Une entreprise qui conserve des renseignements personnels a des obligations de protection, qui varient selon la province et le secteur. Au Québec, la Loi 25 impose notamment de gérer les incidents de confidentialité. Le bulletin ne dit rien sur ces obligations et ne constitue pas un avis juridique. Si une compromission est confirmée, un avocat spécialisé en protection des renseignements personnels peut préciser les avis à produire et les délais. Votre assureur en cyberrisque peut aussi exiger une déclaration rapide : relisez votre police avant qu'un incident survienne.

Pour un cas de suspicion d'intrusion, la bonne séquence est la suivante : isoler, conserver les journaux, informer le prestataire et l'assureur, puis consulter un spécialiste en réponse aux incidents.

Quand faire appel à un expert

Un administrateur interne compétent peut appliquer un correctif documenté. Un expert devient utile dans quatre situations : l'inventaire du parc est incomplet, le prestataire ne répond pas, les journaux montrent une activité douteuse, ou la configuration du pare-feu n'a jamais été revue depuis son installation. Dans ces cas, une revue de sécurité ciblée sur les pare-feu, les comptes d'administration et la segmentation du réseau est plus utile qu'un outil de plus.

Sur Expert Zoom, vous pouvez consulter un spécialiste en informatique qui valide votre inventaire, vérifie vos versions face aux fiches du fabricant et planifie la mise à jour avec vous. Prévoyez de lui fournir la liste de vos équipements, les versions installées et les noms des personnes ayant un accès d'administration.

Les gestes à poser cette semaine

1. Recenser tous les équipements Check Point de l'organisation, y compris les serveurs de gestion, de journaux et Maestro.
2. Consulter les fiches SK1000362 et SK1000291 pour comparer vos versions.
3. Limiter l'accès à l'interface de gestion et désactiver les comptes inutiles.
4. Installer les correctifs dès qu'ils sont disponibles pour vos versions.
5. Examiner les journaux depuis le 12 novembre 2026 et conserver une copie.

Le texte intégral du bulletin, avec les liens vers les avis du fabricant, est publié par le Centre canadien pour la cybersécurité. Le suivi de l'entrée CISA de CVE-2026-123039 permet aussi de savoir si la situation évolue.