if ( !emtpy($headline_subheadline ) ) : ?>
Les attaquants ont enchaîné une vulnérabilité d’élévation de privilèges récemment révélée avec PHP2Shell pour prendre le contrôle des passerelles, voler les configurations réseau et déployer des logiciels malveillants destructeurs.
endif; ?>
Un pare-feu est censé constituer une frontière que les attaquants ne peuvent pas franchir.
Mais les pare-feu font face au Web, ce qui les rend tout aussi vulnérables aux attaques que les autres systèmes, comme en témoignent les correctifs d’urgence publiés par Check Point Software pour plusieurs de ses produits. Les correctifs corrigent une faille d’élévation de privilèges de haute gravité, CVE-2026-123039, qui donne aux attaquants un accès aux privilèges root et la possibilité d’envoyer des commandes au démon Gaia OS Dynamic CLI, un processus d’arrière-plan central.
Les pirates informatiques exploitent la vulnérabilité notée 7,8 depuis fin octobre, et Check Point a déclaré que « quelques douzaines » de clients avaient été touchés.
Il n’est peut-être pas surprenant que les adversaires aient obtenu un premier accès via PHP2Shell, le nom collectif de deux failles PHP critiques identifiées comme CVE-2026-109618 et CVE-2026-109619. Les bogues classés 9,2 permettent l’exécution de code à distance (RCE) non authentifié.
« Pour les clients, un seul point d’appui offrait le menu complet : espionner, rester et détruire », a déclaré Frank Dickson de Dickson Research. « Pour Check Point, le coût, c’est la confiance. Un pare-feu est censé être le point le plus fort du réseau, pas le plus souple. »
Accorder un accès root involontaire
CVE-2026-123039 est un bug dans l’interface Dynamic CLI IPC (Inter-Process Communication) qui envoie des requêtes de commandes privilégiées à la CLI dynamique Gaia OS au niveau racine. Il s’agit d’une faille d’élévation de privilèges locale, ce qui signifie qu’un attaquant doit déjà disposer de la capacité d’exécution de code local sur l’appliance ; cela explique sa note de 7,8.
Les attaquants ont d’abord accédé au portail Mobile Access en exploitant les vulnérabilités PHP2Shell. Ils ont ensuite élevé leurs privilèges vers root en utilisant les exploits zero-day CVE-2026-123039.
« Une fois que les attaquants ont root, ils peuvent exécuter tout ce qu’ils veulent », a déclaré Dickson. Un service de gestion sur l’appliance s’exécute en tant que root, écoute sur un socket local sur lequel n’importe quel processus de la boîte peut écrire et ne vérifie jamais qui appelle.
Dans ce cas, les attaquants ont caché des shells Web dans les modèles que le portail utilise pour créer sa page de connexion, et ont installé une porte dérobée TSGA et un malware TSProxy qui survit aux redémarrages, se glisse dans les sauvegardes et les instantanés et se cache dans les propres processus de l’appliance, a-t-il expliqué.
« Cette porte dérobée peut copier la configuration du pare-feu, qui est essentiellement un modèle du réseau », a-t-il déclaré. Il peut également modifier les journaux du pare-feu, masquant ainsi les activités de l’attaquant.
Check Point a signalé qu’après avoir obtenu un accès root, les attaquants sont ensuite passés de la passerelle compromise à un hôte VMware ESXi via SSH, ont déployé le wiper destroy_v6 et ont laissé des messages à caractère politique signés par un groupe se faisant appeler Dream Security Ltd pendant la phase de destruction.
Check Point a conseillé aux équipes de sécurité de déployer immédiatement les correctifs CVE-2026-123039, en commençant par les appareils qui exposent l’accès mobile à Internet. Ceux qui ne peuvent pas le faire immédiatement devraient arrêter le processus et empêcher son redémarrage. Cependant, ont-ils prévenu, cela peut se faire au détriment de certaines commandes CLI.
Dickson a également conseillé aux clients de désactiver l’accès mobile là où il n’est pas utilisé, de garder les interfaces de gestion complètement hors d’Internet et d’exécuter les vérifications des journaux de l’avis sur toute passerelle exposée depuis fin octobre, puis de couper le cordon entre le pare-feu et l’hyperviseur. Une passerelle potentiellement exposée ne doit jamais avoir de chemin approuvé vers VMware ESXi.
Ils doivent également expédier les journaux du pare-feu immédiatement, le cas échéant, à un système que le pare-feu ne peut pas toucher.
Les produits concernés par CVE-2026-123039 incluent le pare-feu de Check Point, le serveur de gestion de la sécurité multi-domaines, la passerelle de sécurité, le serveur de gestion de la sécurité et les plates-formes évolutives.
Les outils de sécurité sont une cible aussi importante que ce qu’ils protègent
Une fois que les attaquants disposent d’un accès root, l’appareil devient essentiellement un point de lancement fiable pour des attaques contre d’autres systèmes qui autrement resteraient protégés, a expliqué Erik Avakian, conseiller technique chez Infotech. En contrôlant efficacement la passerelle, ils peuvent exécuter un large éventail d’actions néfastes.
Le point à retenir et l’ironie de cette situation, a souligné Avakian, est que les technologies mêmes que les organisations déploient pour se protéger peuvent devenir l’une de leurs plus grandes vulnérabilités.
« Les organisations ne peuvent plus supposer que leur infrastructure de sécurité est intrinsèquement sécurisée simplement parce qu’elle est conçue pour fournir une protection », a-t-il déclaré. En réalité, il constitue autant une cible que les systèmes qu’il protège.
Les pare-feu, les appliances VPN et les passerelles de sécurité sont de plus en plus ciblés car ce sont eux qui offrent le plus grand effet de levier et de contrôle, a-t-il noté. En tant que telles, les équipes de sécurité doivent traiter ces appliances comme des actifs de grande valeur avec les mêmes garanties de contrôle d’accès, de gestion des vulnérabilités, de surveillance et de rigueur de réponse aux incidents que celles appliquées à d’autres infrastructures critiques.
Cela signifie appliquer des correctifs agressifs aux systèmes connectés à Internet, restreindre l’accès de la direction, surveiller les activités administratives inhabituelles et rechercher des indications de persistance ou de mouvement latéral, a-t-il déclaré. Mais les correctifs n’éliminent pas les attaquants déjà établis. Les équipes de sécurité doivent donc enquêter et, si nécessaire, reconstruire les systèmes concernés à partir d’images fiables.
Et avec l’accélération des attaques de l’IA, les RSSI devraient envisager d’établir collectivement un état d’esprit et une architecture de confiance zéro sur les piliers de l’identité, du réseau, des applications, des données et des appareils, a-t-il déclaré.
Gardez un œil sur le bord
Les appareils Edge sont des cibles principales, car ils se situent à la frontière, détiennent un accès privilégié et bénéficient rarement de la surveillance des points finaux que d’autres systèmes, a noté Scott Miserendino, CTO chez DataBee. Les appareils de sécurité doivent être traités comme des actifs à haut risque qu’ils sont devenus.
En plus de corriger et d’appliquer des mesures d’atténuation, a-t-il conseillé, les défenseurs devraient supposer qu’il y a eu une violation, rechercher les indicateurs de compromission (IOC) publiés, enquêter régulièrement sur les journaux de sécurité du réseau et des points finaux et segmenter les réseaux pour réduire le rayon d’explosion. « Les outils de sécurité ne sont pas automatiquement sécurisés, alors défendez les défenseurs », a-t-il déclaré.
Et, a souligné Dickson, PHP2Shell continuera à apparaître parce que PHP se trouve sous de nombreux logiciels Web, y compris les portails intégrés aux appareils de sécurité, il devrait donc toujours être sur le radar des défenseurs.
Le plan de gestion est une cible clé
Check Point n’est pas la seule victime des acteurs malveillants. La gestion des pare-feu est devenue une cible privilégiée des attaquants du secteur.
En janvier, par exemple, Fortinet a révélé que des attaquants avaient abusé de son authentification unique FortiCloud pour se connecter aux appareils FortiGate et FortiManager d’autres clients et créer des comptes d’administrateur. En juillet et septembre, CISA a ajouté les failles du serveur de gestion Check Point à son catalogue de vulnérabilités exploitées.
Le même mois, l’agence a également ajouté une faille Cisco Secure Firewall Management Center, d’une gravité parfaite de 10,0, qui donne à un attaquant non authentifié un accès root. Et, en octobre, Palo Alto Networks a mis en garde contre des attaques contre l’interface de gestion PAN-OS, toujours avec « le root sur le pare-feu comme récompense ».
« La logique est simple », a déclaré Dickson : « Le plan de gestion détient les règles pour l’ensemble du réseau.
Changer de fournisseur pour un fournisseur présentant moins de défauts est une option, mais changer de fournisseur remplace un talon d’Achille par un autre, a-t-il souligné, car l’appareil périphérique de chaque fournisseur dispose d’un portail Web et chaque portail Web est une porte. « Le remède, c’est moins de portes », a-t-il conseillé. « Réduisez la périphérie d’Internet et placez l’accès à distance derrière une politique d’identité cohérente. »
En fin de compte, a-t-il souligné, un pare-feu n’est pas un mur, c’est un ordinateur connecté à Internet. « Les attaquants le traitent comme tel », a-t-il déclaré. « Les équipes de sécurité devraient le défendre comme tel. »
