Check Point : une faille activement exploitée frappe les pare-feu utilisés par des milliers d'organisations

Le CERT-FR a publié le 23 juillet 2026 l'avis CERTFR-2026-AVI-0912 : trois failles touchent les produits de sécurité réseau de Check Point, dont une activement exploitée. Les organisations qui protègent leur système d'information avec des Security Gateways ou un Security Management Check Point doivent traiter ce correctif en priorité absolue.

Ce qui s'est passé

Selon l'avis de l'ANSSI, fondé sur trois bulletins de sécurité publiés par l'éditeur le 22 juillet 2026 (sk185152, sk185153, sk185169), les vulnérabilités concernent les Security Gateways, le Security Management et le Multi-Domain Security Management, dans les versions R82, R82.10 et toutes les versions antérieures à R81.20 non corrigées. Trois CVE sont référencées : CVE-2026-16232, CVE-2026-62144 et CVE-2026-62145. Les risques identifiés sont un contournement de la politique de sécurité et une élévation de privilèges — deux scénarios qui permettent à un attaquant de prendre pied dans l'infrastructure réseau elle-même, souvent le point de passage de l'ensemble du trafic d'une organisation.

Le point le plus préoccupant : Check Point confirme que la CVE-2026-16232 est activement exploitée. Il ne s'agit donc pas d'un correctif préventif mais d'une réponse à une menace déjà en cours. Aucun correctif de contournement n'est proposé : la seule solution documentée consiste à appliquer les correctifs listés dans les bulletins de l'éditeur.

Pourquoi c'est important

Un pare-feu ou une passerelle de sécurité compromis n'est jamais un incident isolé. Ces équipements filtrent et inspectent l'ensemble des flux entrants et sortants d'une organisation : les compromettre revient à donner à un attaquant une vue d'ensemble du réseau, voire la capacité de désactiver les protections censées détecter une intrusion. C'est précisément pour cette raison que l'article 32 du RGPD impose des mesures techniques « à l'état de l'art » : un correctif disponible et non appliqué peut, en cas d'incident, être retenu contre l'organisation comme un manquement à cette obligation de sécurité.

Ce n'est pas non plus un cas isolé dans l'actualité récente du CERT-FR. Un mois plus tôt, un second avis en deux mois visait déjà Stormshield Management Center, autre brique d'infrastructure réseau très déployée en France. La récurrence de ces avis sur des équipements de périmètre confirme une tendance de fond : les pare-feu et passerelles de sécurité sont devenus une cible de choix, précisément parce qu'ils concentrent un accès privilégié à l'ensemble du système d'information.

Ce que ça change pour les organisations

Pour les DPO et RSSI qui exploitent des produits Check Point, la priorité immédiate est d'établir un inventaire précis des versions déployées et de vérifier si le dernier correctif de sécurité a été appliqué, en particulier sur les versions R82 et R82.10. Les instances exposées sur Internet doivent être traitées en priorité, avant les équipements internes.

Si l'exploitation de la CVE-2026-16232 est confirmée sur votre infrastructure, l'analyse ne doit pas s'arrêter au correctif technique. Il faut vérifier si des données personnelles ont pu être exposées via un accès réseau non autorisé, ce qui déclencherait l'obligation de notifier la CNIL sous 72 heures. Les organisations relevant de la directive NIS 2 doivent en parallèle documenter leur gestion de la vulnérabilité au titre de leurs obligations de cybersécurité, y compris la notification à l'ANSSI si un incident significatif est constaté. Enfin, pour les entreprises qui font appel à un prestataire pour l'administration de leur infrastructure réseau, il est utile de vérifier contractuellement qui, du client ou du sous-traitant, est responsable de l'application des correctifs — un point souvent flou qui ressurgit systématiquement lors de ce type d'avis.

Plus largement, cet avis est un bon déclencheur pour revoir sa politique de gestion des correctifs et, au-delà, pour sécuriser durablement l'ensemble de son système d'information plutôt que de réagir avis après avis.

Ce que Leto pense de cette décision

Une vulnérabilité activement exploitée dans un équipement de périmètre réseau ne devrait jamais rester dans une file d'attente de tickets à traiter « quand on aura le temps ». Le fait que Check Point confirme l'exploitation active change la nature du risque : ce n'est plus une probabilité théorique, c'est un scénario d'attaque déjà observé sur d'autres infrastructures. Les organisations qui traitent ces avis CERT-FR comme une simple case à cocher pour la conformité RGPD passent à côté de l'essentiel — la sécurité réelle du système d'information est la meilleure protection contre une violation de données, bien avant la notification qui la suit.

Sources : Avis CERTFR-2026-AVI-0912, CERT-FR · CVE-2026-16232 · Bulletin de sécurité Check Point sk185152