Faille VPN Check Point exploitée : vérifiez votre accès à distance cette semaine
Check Point a publié le 8 juin un correctif pour une faille critique de ses VPN, exploitée depuis début mai. Qui est concerné et quoi faire, même sans Check Point.
Le 8 juin, Check Point a publié un correctif d'urgence pour une faille critique de ses solutions d'accès à distance. Elle permet de contourner l'authentification du VPN, et elle est exploitée depuis début mai contre plusieurs dizaines d'organisations, dans au moins un cas par un groupe lié au rançongiciel Qilin. Si votre entreprise utilise un VPN Check Point, c'est un sujet pour cette semaine, pas pour le mois prochain. Si elle utilise une autre marque, l'épisode reste une bonne occasion de vérifier trois choses.
Ce que Check Point a annoncé
L'éditeur décrit deux failles :
- CVE-2026-50751, notée 9,3 sur 10 : un contournement de l'authentification dans les produits Remote Access VPN, Mobile Access et Spark Firewall. Elle est activement exploitée.
- CVE-2026-50752, notée 7,4 : un défaut de validation de certificat qui peut permettre, dans certaines conditions, d'intercepter un VPN entre deux sites. Elle n'a pas été observée en exploitation.
Les deux ne concernent que les installations configurées pour utiliser IKEv1, une ancienne version du protocole d'échange de clés, déclarée obsolète depuis longtemps mais encore activée sur de nombreux équipements, souvent pour garder la compatibilité avec de vieux clients.
Check Point indique que la première exploitation observée remonte au 7 mai, que les tentatives se sont accélérées début juin et que son enquête a commencé le 4 juin. Les versions concernées vont des anciennes R80.20 et R80.40, qui ne sont plus maintenues, jusqu'aux versions R82 actuelles. Selon Rapid7, l'agence américaine de cybersécurité CISA a ajouté la faille à son catalogue des vulnérabilités exploitées le jour même.
Pourquoi le VPN est la cible idéale
Le VPN est la porte d'entrée de votre réseau pour les salariés en déplacement ou en télétravail. Il est, par construction, exposé sur Internet. Une faille qui permet d'entrer sans mot de passe donne à l'attaquant la même position qu'un salarié connecté : il voit les partages de fichiers, les serveurs, parfois l'annuaire.
C'est pour cela que les groupes de rançongiciel s'intéressent autant aux équipements d'accès à distance, toutes marques confondues. Et c'est pour cela que le délai entre l'exploitation et la découverte compte : ici, plus d'un mois. Un attaquant qui est entré en mai a pu s'installer, discrètement, bien avant le correctif.
Si vous utilisez Check Point : les gestes de la semaine
- Vérifiez si IKEv1 est activé sur vos passerelles d'accès à distance et entre vos sites. Si votre prestataire ne sait pas répondre immédiatement, c'est déjà une information.
- Installez le correctif publié par l'éditeur (référencé sk185033 pour la faille critique). S'il ne peut pas être posé tout de suite, appliquez les mesures de contournement décrites dans le même avis.
- Faites relire les journaux de connexion depuis le 7 mai. L'éditeur publie des indicateurs de compromission ; la question n'est pas seulement « suis-je à jour ? » mais « quelqu'un est-il déjà entré ? ».
- Si vous êtes sur une version qui n'est plus maintenue (R80.20, R80.40, R81, R81.10), planifiez la migration. Une version hors support finira par avoir une faille sans correctif.
Si vous utilisez une autre marque : trois vérifications
La faille est propre à Check Point, mais les leçons valent pour tous les équipements d'accès à distance :
- Les protocoles anciens sont-ils désactivés ? La compatibilité avec un vieux poste ne vaut pas une porte ouverte. Dressez la liste des réglages hérités et supprimez ceux qui ne servent plus.
- L'équipement est-il dans une version maintenue par l'éditeur ? Beaucoup de PME découvrent, le jour d'une alerte, que leur pare-feu n'a plus reçu de mise à jour depuis des années.
- Qui reçoit les alertes de sécurité de l'éditeur, et qui agit ? Un équipement installé par un prestataire puis oublié est un équipement vulnérable. Il faut un nom et un délai.
Ajoutez une quatrième question, plus structurelle : l'authentification à double facteur est-elle exigée pour se connecter ? Elle n'aurait pas suffi contre un contournement d'authentification, mais elle bloque la grande majorité des attaques plus ordinaires sur les mots de passe volés.
Ce que ça dit de votre réseau
Deux semaines après l'attaque contre des paquets npm de Red Hat, dont nous parlions dans notre article du 3 juin, le schéma se répète : ce ne sont pas les petites entreprises qui sont visées en premier, ce sont les outils que tout le monde utilise. Une PME est touchée parce qu'elle a le même équipement que les autres, pas parce qu'elle est ciblée.
Chez nous, c'est Timothé qui raccorde au réseau des clients les serveurs que nous installons, notamment pour l'IA locale. Un serveur de plus sur un réseau dont l'accès à distance est fragile, c'est un risque de plus : nous commençons donc toujours par regarder comment on entre dans ce réseau depuis l'extérieur. Si vous voulez faire ce point, ou si vous avez un doute sur votre accès à distance, prenez un rendez-vous de 30 minutes avec l'équipe.