Présentation

Le 17 septembre 2026, Check Point a publié un correctif urgent (LivePatch sk1000155) pour la vulnérabilité CVE‑2026‑91843, notée 9.8/10 sur l’échelle CVSS. Il s’agit d’un débordement de pile (stack overflow) qui se produit lors du traitement d’une requête de connexion contenant un nom d’utilisateur anormalement long. La faille se situe dans le processus d’authentification du Security Management Server (SMS) et du Log Server, avant même que l’utilisateur ne soit identifié, ce qui permet à un attaquant non authentifié d’exécuter du code avec les privilèges root sur le serveur compromis.

Fonctionnement de la faille

Le composant vulnérable gère la chaîne de caractères du champ username sans vérifier sa longueur. Censys a observé que l’envoi d’une chaîne dépassant la capacité du tampon déclenche un dépassement qui écrase la mémoire de la pile, redirigeant le flux d’exécution vers du code injecté. Le vecteur d’attaque ne nécessite aucune authentification préalable, car le serveur traite la requête avant d’appliquer les contrôles d’accès. La configuration « Trusted Clients » – qui détermine les hôtes autorisés à se connecter via SmartConsole – constitue le seul chemin d’accès exploitable : si ce paramètre est laissé ouvert à toute adresse IP, l’exploit devient trivialisable.

Analyse de l’impact et mesures d’atténuation

Les versions affectées couvrent les branches R82.10 (Take 44‑ ou inférieur), R82 (Take 126‑ ou inférieur), R81.20 (Take 166‑ ou inférieur), R81.10 (Take 190‑ ou inférieur) ainsi que les séries R81, R80.40, R80.30, R80.20, R80.10 et R80, toutes en fin de support. Check Point indique que la branche R82.20, bien que non listée dans le CVE, est également vulnérable et ne bénéficie d’aucun Jumbo Hotfix correctif à ce jour. Les déploiements autonomes (management + gateway) et les serveurs Multi‑Domain sont également concernés. En revanche, le service cloud Smart‑1 n’est pas impacté, le correctif étant déjà intégré.

Le risque opérationnel est élevé : un accès root permet de modifier les politiques de pare‑feu, d’instaurer des tunnels VPN malveillants ou d’exfiltrer des données sensibles. Malgré l’absence de preuve de concept publique et le statut « none » attribué par le CISA, la présence de 3 836 hôtes identifiés par Censys comme utilisant l’identité par défaut montre une surface d’exposition non négligeable. Check Point recommande d’activer les mises à jour automatiques, de vérifier la présence du LivePatch via la commande cplp list, et de restreindre strictement le paramètre Trusted Clients aux adresses IP connues, en évitant toute exposition directe à Internet. Les organisations dont les serveurs sont en fin de support doivent ouvrir un ticket auprès du support pour obtenir le correctif dédié.

Perspectives

Cette cinquième faille critique depuis juillet 2026 souligne la pression constante sur les composants de gestion de sécurité, qui sont souvent exposés à des réseaux internes mais parfois mal segmentés. La dépendance à un mécanisme de mise à jour différée (LivePatch) peut retarder la diffusion du correctif, comme l’ont signalé certains clients lors de précédentes vulnérabilités VPN. Une stratégie de défense en profondeur – incluant la segmentation réseau, le filtrage d’accès aux consoles de gestion et la surveillance des signatures de débordement de pile – reste indispensable pour limiter la fenêtre d’exploitation potentielle.