Le bug, avec un score CVSS de 9,3, dispose désormais d’un correctif, mais Check Point encourage également à restreindre l’accès à la console aux seules adresses IP/sous-réseaux de confiance.
Check Point a confirmé qu’une faille de sécurité critique dans son outil de gestion SmartConsole, qui permet à des attaquants non authentifiés d’acquérir tous les privilèges d’administrateur, est désormais exploitée de manière sauvage. La vulnérabilité, CVE-2026-16232, a reçu un score CVSS de 9,3.
Dans son alerte de sécurité, Check Point a décrit le bug comme permettant à un attaquant non authentifié « d’obtenir un jeton de connexion d’application et de l’utiliser pour se connecter via SmartConsole avec tous les privilèges d’administrateur et appliquer des modifications à la politique de sécurité et à la configuration de sécurité ».
La société a publié un correctif pour le bug et recommande également aux utilisateurs de « limiter les clients de confiance, les clients GUI, aux adresses IP/sous-réseaux de confiance ». Cette approche a toujours été une bonne pratique, mais les réalités pratiques du réseautage actuel rendent sa maintenance difficile. Check Point a déclaré que l’exploit avait touché dix de ses clients, qu’il avait tous informés directement.
Bien pire que la plupart
Frank Dickson, vice-président du groupe pour la sécurité chez IDC, a déclaré que cette faille de sécurité est bien pire que la plupart.
« Cela frappe plus fort que votre CVE moyen en raison de l’endroit où il se trouve », a-t-il déclaré. « Le CVE cible la connexion SmartConsole sur le serveur de gestion de la sécurité de Check Point, la console qui transmet la politique à chaque passerelle située en dessous. L’ouverture d’une passerelle vous permet de crocheter un verrou. L’ouverture du serveur de gestion revient plus à trouver le One Ring : un jeton volé pour gouverner chaque passerelle qu’il gère, pas besoin de combattre chacune d’entre elles individuellement. L’attaquant peut réécrire la politique, ouvrir de nouveaux chemins VPN et supprimer la journalisation. «
Mais lorsque son équipe a réexaminé les enregistrements précédents, sachant quoi rechercher, elle a repéré ce trou en train d’être attaqué dès avril, a déclaré Finkelstein.
Le fait qu’en trois mois l’équipe n’ait trouvé que dix organisations attaquées indique qu’il a été très difficile pour l’attaquant de trouver les systèmes vulnérables, a-t-il noté ; les clients utilisaient pour la plupart des paramètres sécurisés pour se protéger.
Néanmoins, a déclaré Finkelstein, Check Point considère cette faille comme « une grave vulnérabilité ».
Les défis des restrictions d’adresse IP
Bien qu’il puisse être techniquement difficile de maintenir à jour les listes d’adresses IP recommandées par Check Point, étant donné la capacité du DHCP à modifier facilement ces adresses, Assaf Morag, chercheur en cybersécurité chez Flare, a noté qu’il est bien plus critique de limiter spécifiquement l’accès à une console de gestion que de limiter l’accès externe global.
« La mise en œuvre de clients de confiance en tant que liste blanche par IP n’est pas pratique », a-t-il déclaré, mais ce n’est pas le cas avec la restriction de l’accès de gestion. « La solution la plus évolutive consiste à restreindre l’accès en fonction de segments de réseau administratifs fiables tels que les pools VPN, les VLAN de gestion ou les hôtes de saut, plutôt que de conserver des listes d’adresses client individuelles attribuées par DHCP », a-t-il expliqué. « Cela vous offre un avantage en matière de sécurité sans créer de tâche administrative à plein temps. La gestion de listes autorisées pour des hôtes individuels est beaucoup plus pratique lorsque ces hôtes ont des adresses IP stables et prévisibles, plutôt que des adresses DHCP attribuées dynamiquement. »
Pieter Arntz, chercheur en intelligence malveillante chez Malwarebytes, a également noté que la nature constamment changeante des adresses IP mondiales peut s’avérer ennuyeuse pour les équipes informatiques. Soulignant qu’il n’est pas familier avec les paramètres spécifiques de Check Point, il a noté : « Certains paramètres sont gênants lorsqu’ils sont appliqués strictement, et à un moment donné, le personnel informatique en a assez de les peaufiner constamment et abandonne la voie la plus sécurisée. »
Plateforme idéale pour les attaques à long terme
Mike Wilkes, RSSI d’entreprise chez Aikido Security, convient que la gravité et l’exposition de cette faille sont alarmantes.
« C’est exactement le genre de vulnérabilité qui empêche les RSSI de dormir la nuit, car elle frappe le système qui est censé se placer entre l’attaquant et tout le reste. Un contournement d’authentification qui accorde le contrôle administratif d’un pare-feu périmétrique n’est pas simplement un autre CVE à corriger. C’est une invitation pour un adversaire à réécrire les règles du réseau lui-même », a-t-il déclaré. « La réalité inconfortable est que personne n’utilise d’agent CrowdStrike sur son pare-feu. Une fois qu’un attaquant possède un périphérique périphérique, il obtient une position privilégiée unique qui échappe souvent à la visibilité de la sécurité traditionnelle des points finaux, ce qui en fait une plate-forme idéale pour la persistance, le vol d’informations d’identification, la manipulation du trafic et l’espionnage à long terme. «
Dickson d’IDC a fortement encouragé les RSSI à déployer le correctif, et pas seulement à modifier les paramètres pour atténuer le problème.
« Appliquez le correctif actuel », a-t-il déclaré. « Ne vous contentez pas de restreindre les adresses IP des clients de confiance et de dire que c’est terminé. C’est un pis-aller, pas une solution. Toute console de gestion accessible sur Internet, Check Point ou autre, est un problème d’architecture à cinq alarmes indépendant de ce CVE. »
Et, a-t-il ajouté, « puisque les attaquants ici peuvent désactiver la journalisation, auditer l’activité de l’administrateur avant que le bug n’apparaisse. Les journaux silencieux ne prouvent pas que rien ne s’est passé. C’est le thème récurrent des outils de sécurité à « écran unique » : la console conçue pour rendre tout plus facile à exécuter est aussi la seule chose que vous ne voulez vraiment pas que quelqu’un d’autre conduise. «
