# Check Point corrige une faille critique permettant une exécution de code en root sur ses serveurs de gestion

> La vulnérabilité CVE-2026-91843, notée 9,8 sur 10, touche tous les serveurs de gestion Check Point quelle que soit leur configuration

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/check-point-faille-critique-root-serveurs-gestion-cve-91843
- Auteur : Kelvyn
- Publié le : 19 septembre 2026 (2026-09-19T04:44:53.220Z)
- Rubrique : Cybersécurité
- Sujets : Cybersécurité, CVE, Faille critique, Check Point, Pare-feu
- Langue : français

L'éditeur israélien de solutions de cybersécurité **Check Point Software** a publié le 18 septembre 2026 des mises à jour de sécurité corrigeant une faille critique permettant à un attaquant d'exécuter du code avec des privilèges **root** sur ses systèmes de gestion. Référencée **CVE-2026-91843**, la vulnérabilité est notée 9,8 sur 10 sur l'échelle CVSS (Common Vulnerability Scoring System).

La faille provient d'un débordement de tampon sur la pile (stack-based buffer overflow) dans le processus de connexion des instances Security Management Server, les serveurs qui pilotent les pare-feu Check Point (Security Gateways) et surveillent les événements de sécurité réseau. Le Log Server, dédié à la collecte et au stockage des journaux générés par les pare-feu Check Point, est également concerné.

## Qui est concerné et comment la faille est-elle exploitée ?

Une exploitation réussie permet à des attaquants sans privilège préalable d'obtenir une exécution de code à distance en tant que root, dans des attaques de faible complexité ne nécessitant aucune interaction de l'utilisateur. Sont concernés les serveurs de gestion de sécurité, les serveurs de journaux, les serveurs multi-domaines, ainsi que les déploiements autonomes combinant gestion et passerelle, sur les branches R82.20 (toutes versions), R82.10 (Jumbo Hotfix Take 44 ou antérieur), R82 (Take 126 ou antérieur), R81.20 (Take 166 ou antérieur), R81.10 (Take 190 ou antérieur), ainsi que les versions R81, R80.40, R80.30, R80.20, R80.10 et R80, qui ont atteint leur fin de support.

Check Point insiste sur l'ampleur de l'exposition : « Tous les déploiements de Security Management Server sont vulnérables, quelle que soit la configuration. La vulnérabilité ne dépend d'aucune configuration de gestion spécifique. La gestion est vulnérable même quand le VPN n'est pas utilisé ou configuré. »

> Check Point n'a pas signalé d'exploitation active de cette faille à ce jour. Les équipes de sécurité peuvent toutefois repérer une tentative d'attaque en surveillant les journaux d'audit et de connexion administrateur à la recherche de l'alerte « Administrator failed to log in: Username too long » (l'exploitation passe par l'envoi de requêtes de connexion contenant des noms d'utilisateur anormalement longs).

## Que faire en attendant ou à défaut d'un correctif immédiat ?

Check Point a diffusé le correctif via son canal de mise à jour automatique LivePatch : les clients ayant activé les mises à jour automatiques sont déjà protégés. Pour les autres, l'éditeur recommande de durcir les systèmes vulnérables et de restreindre l'accès aux seules adresses IP ou sous-réseaux de confiance, via le menu Manage & Settings > Permissions & Administrators > Trusted Clients de la console SmartConsole. L'avis de sécurité complet est disponible sous la référence sk1000155 dans la base de connaissances de l'éditeur.

Cette annonce s'ajoute à une série déjà dense de correctifs critiques chez Check Point. La semaine précédente, l'éditeur avait corrigé une autre faille d'exécution de code à distance (CVE-2026-85103), provoquée par un débordement de tas dans le traitement des certificats VPN au format ASN.1, ainsi qu'une faille de contournement d'authentification (CVE-2026-85102) permettant à des attaquants non authentifiés d'exécuter du code à distance sur les pare-feu vulnérables. C'est au sujet de ces deux dernières failles que le centre néerlandais de cybersécurité (NCSC-NL, National Cyber Security Centre) avait averti que leur exploitation était jugée imminente.

Cette nouvelle faille, CVE-2026-91843, est distincte des deux précédentes : elle touche le processus d'authentification lui-même sur les serveurs de gestion, et non le traitement des certificats VPN. Check Point a par ailleurs déjà eu à traiter, ces derniers mois, deux failles de contournement d'authentification activement exploitées : l'une par un affilié du rançongiciel Qilin depuis juin 2026, l'autre pour s'authentifier avec des privilèges administrateur sur les panneaux SmartConsole depuis au moins juillet 2026.

## À retenir

- Check Point a corrigé le 18 septembre 2026 la faille CVE-2026-91843 (CVSS 9,8), un débordement de tampon permettant une exécution de code root sans authentification sur ses serveurs de gestion de sécurité.
- Tous les déploiements de Security Management Server sont vulnérables quelle que soit leur configuration, y compris lorsque le VPN n'est ni utilisé ni configuré.
- Aucune exploitation active n'a été constatée à ce jour ; le correctif est diffusé automatiquement via LivePatch pour les clients ayant activé les mises à jour automatiques.
- Cette faille est distincte des deux vulnérabilités VPN critiques (CVE-2026-85102 et CVE-2026-85103) corrigées la semaine précédente chez Check Point, dont le centre néerlandais de cybersécurité jugeait l'exploitation imminente.

## Source

D'après les articles de [The Hacker News](https://thehackernews.com/2026/09/critical-check-point-management-server.html) et de [BleepingComputer](https://www.bleepingcomputer.com/news/security/check-point-warns-critical-flaw-lets-hackers-execute-code-as-root/), qui citent l'avis de sécurité officiel de Check Point (référence sk1000155).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/check-point-faille-critique-root-serveurs-gestion-cve-91843