Faille Check Point : des pare-feu piratés jusqu’à l’effacement de serveurs VMware
Le pare-feu est censé être la porte blindée de votre réseau. Cette semaine, Check Point, l’un des grands fabricants de pare-feu, a confirmé que des pirates ont exploité une faille Check Point jusque-là inconnue pour prendre le contrôle complet de passerelles non corrigées. Dans quelques cas, ils sont ensuite allés effacer des serveurs VMware ESXi derrière le pare-feu.
Check Point précise que les correctifs étaient disponibles une semaine avant le début des attaques et qu’environ deux douzaines de systèmes non corrigés ont été compromis, dans une seule région. Si votre entreprise ou votre fournisseur TI utilise un pare-feu Check Point, voici ce qui s’est passé et quoi vérifier.
Une semaine entre le correctif et l’attaque
Chronologie de l’affaire (dates de 2026)
Sources : Check Point, BleepingComputer, The Hacker News. Selon Check Point, les passerelles qui avaient reçu le correctif PHP2Shell avant le 30 octobre fermaient la porte d’entrée de cette chaîne d’attaque.
La chaîne d’attaque, maillon par maillon
Les pirates ont enchaîné deux failles. La première, PHP2Shell (CVE-2026-109618 et CVE-2026-109619), touche le langage PHP utilisé par le portail Mobile Access des passerelles, la page qui permet aux employés de se connecter à distance. Nous l’avions présentée dans notre article sur la faille PHP critique. La seconde, CVE-2026-123039, était un zero-day propre au système Gaia de Check Point.
Maillon 1
CVE-2026-109618/109619
Entrée par le portail
PHP2Shell permet d’exécuter du code sans mot de passe sur le portail Mobile Access exposé à Internet.
Maillon 2
CVE-2026-123039
Prise de contrôle totale
Une erreur d’autorisation dans le service DynamicCLI donne les droits root sur la passerelle.
Maillon 3
TSGA + TSProxy
Porte dérobée cachée
Le pirate installe des web shells et une porte dérobée déguisée en composant Check Point (CPconfigdaemon).
Maillon 4
gogo + SSH
Repérage du réseau
Depuis le pare-feu, il cartographie le réseau interne et se connecte en SSH à des serveurs VMware ESXi.
Maillon 5
destroy_v6
Effacement
Dans certains cas, un logiciel destructeur efface les fichiers et laisse une note politique, sans demande de rançon.
Check Point n’attribue pas l’attaque avec certitude. Les outils ressemblent à une trousse déjà associée à un groupe lié à la Chine, mais l’effacement et le message politique ne correspondent pas à ses habitudes. L’éditeur évoque plusieurs scénarios, dont un courtier d’accès initial ou une opération sous faux drapeau.
Faille Check Point : votre pare-feu est-il concerné?
La faille d’élévation de privilèges touche notamment les versions R81.20, R82, R82.10 et R82.20 de Gaia. PHP2Shell touche aussi les passerelles dont le portail Mobile Access est activé, y compris certaines versions des pare-feu Spark destinés aux petites entreprises, selon le tableau de Check Point. Remplissez cette fiche avec la personne qui gère votre pare-feu :
Corriger ne suffit pas : les traces à chercher
Un correctif ferme la porte, mais ne retire pas une porte dérobée déjà installée. Check Point demande de vérifier les passerelles qui étaient exposées. Voici les indices publiés, traduits en tâches concrètes pour votre fournisseur TI :
🗂️ Fichiers de session suspects
Signe de l’exploitation de PHP2Shell.
🔎 À chercher : des fichiers de session PHP qui contiennent la chaîne upload_progress_pwn.
🧹 Si c’est le cas : isoler la passerelle et ouvrir une enquête.
⚙️ Faux composant Check Point
La porte dérobée TSGA se fait passer pour un processus légitime.
🔎 À chercher : un processus ou un fichier nommé selon le modèle CPconfigdaemon.
🧹 Si c’est le cas : ne pas se contenter de le supprimer : faire analyser l’appareil.
🧾 Trous dans les journaux
La porte dérobée peut altérer les journaux du pare-feu.
🔎 À chercher : des périodes sans journaux, surtout après un plantage du service de journalisation.
🧹 Si c’est le cas : comparer avec les journaux conservés ailleurs, s’il y en a.
🖥️ Connexions vers VMware
Le pirate s’est servi du pare-feu comme tremplin.
🔎 À chercher : des connexions SSH de la passerelle vers vos serveurs ESXi.
🧹 Si c’est le cas : changer les mots de passe des comptes de service VMware et vérifier les sauvegardes.
Après l’installation du correctif, Check Point indique aussi comment repérer les tentatives bloquées dans le journal du service DynamicCLI. L’absence de ces indices n’exclut pas une compromission, prévient l’éditeur, mais leur présence exige une enquête immédiate.
Ce que chaque mesure règle, et ce qu’elle ne règle pas
| Mesure | Bloque PHP2Shell | Bloque l’accès root | Retire un accès déjà installé |
|---|---|---|---|
| Installer le Jumbo Hotfix de novembre | ✔ | ✔ | ✖ |
| Arrêter dynamic_server (mesure temporaire) | ✖ | ✔ | ✖ |
| Chercher les indices publiés par Check Point | ✖ | ✖ | ◐ |
| Faire analyser ou réinstaller une passerelle compromise | ✖ | ✖ | ✔ |
✔ oui · ✖ non · ◐ aide à repérer, sans corriger. Les trois premières lignes viennent des avis de Check Point; la dernière est la pratique habituelle en réponse aux incidents.
Vous n’utilisez pas Check Point? La leçon vaut pour tous les pare-feu
Ce scénario se répète d’une marque à l’autre : un portail d’accès à distance exposé, un correctif publié, puis des attaques dans les jours qui suivent. Nous l’avons vu avec FortiBleed chez Fortinet. Trois réflexes pour une PME :
- Connaître son pare-feu : marque, version et qui reçoit les avis de sécurité de l’éditeur.
- Corriger les appareils exposés à Internet en premier, en jours plutôt qu’en semaines.
- Limiter ce que le pare-feu peut joindre à l’interne : il n’a généralement pas besoin d’ouvrir une session sur vos serveurs de virtualisation.
Comment NeoTech peut vous aider
Avec nos services TI gérés, nous tenons l’inventaire de vos équipements réseau, nous suivons les avis des fabricants et nous planifions les correctifs urgents des appareils exposés à Internet. Nous offrons aussi une surveillance automatisée 24/7 avec intervention du technicien de garde lorsqu’un comportement inhabituel est détecté sur vos systèmes.
Réservez votre Bilan cyber gratuit
En 30 minutes, nous regardons avec vous la marque, la version et l’exposition de votre pare-feu, et ce qu’il faut corriger en priorité.
👉 Réservez votre Bilan cyber gratuit
Appelez-nous au 438-476-2322 ou écrivez à info@neotechcloudsolutions.com.
Nos bureaux : 2572, boul. Daniel-Johnson, bureau 237, Laval.
Sources
- Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation (12 nov. 2026) (en anglais)
- Check Point — sk1000362, CVE-2026-123039 (correctifs et mesure temporaire) (en anglais)
- The Hacker News — Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files (13 nov. 2026) (en anglais)
- BleepingComputer — Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper (13 nov. 2026) (en anglais)
Photo : Sergei Starostin, Pexels (licence Pexels).