VPN Check Point : le NCSC néerlandais juge l'exploitation imminente

Le 12 septembre 2026, le Nationaal Cyber Security Centrum (NCSC) néerlandais a publié une mise en garde sur deux vulnérabilités critiques des VPN Check Point, suivies sous les identifiants CVE-2026-85102 et CVE-2026-85103. L’agence ne signale pas d’exploitation constatée : elle l’anticipe. Elle évalue la probabilité d’exploitation et l’impact potentiel comme élevés, et s’attend à des tentatives à brève échéance. Aucun code d’exploitation public n’a été rapporté à ce stade, d’après Bleeping Computer, qui a relayé l’avis le jour même.

Deux failles au même endroit : le certificat

Les deux vulnérabilités touchent le traitement des certificats pendant la négociation VPN.

CVE-2026-85102 est une validation incorrecte des données de certificat au cours de cette négociation. Un attaquant distant peut s’en servir pour exécuter du code arbitraire sur une Security Gateway.

CVE-2026-85103 est un dépassement de tas dans le décodeur ASN.1 des certificats VPN. Sa portée est plus large : elle permet une exécution de code à distance sur les Security Gateway, mais aussi sur les Security Management Server — c’est-à-dire sur la machine depuis laquelle la politique de sécurité est administrée.

Le NCSC décrit les conséquences possibles d’une exploitation : prise de contrôle complète d’un système, consultation ou modification de données confidentielles, perturbation de l’activité. Il s’agit d’une solution d’accès distant pour les salariés en télétravail, donc d’un équipement exposé sur Internet par construction.

Les versions concernées

Sont affectées les branches R81.20, R82, R82.10, R81.10.x et R82.00.x. S’y ajoutent des versions en fin de support : R80 à R80.40, R81 et R81.10 — pour celles-là, la question n’est pas le correctif mais le calendrier de migration.

Un point mérite d’être retenu avant de déclencher une nuit blanche : la version R82.20 n’est affectée par aucune des deux failles.

Ce qu’il faut poser

Check Point a publié ses correctifs le 9 septembre 2026, accompagnés de deux avis de sécurité distincts, sk1000117 et sk1000118.

Les deux failles sont corrigées par le LivePatch Take 24 pour R81.20, R82 et R82.10. Les correctifs sont également intégrés dans les paquets suivants : Jumbo Hotfix Accumulator Take 44 ou ultérieur pour R82.10, Take 126 ou ultérieur pour R82, Take 166 ou ultérieur pour R81.20, ainsi que Spark R82.00.10 build 2325 ou ultérieur et Spark R81.10.17 build 4968 ou ultérieur.

Ce sont ces numéros qu’il faut comparer à l’existant avant toute autre action : la liste des versions vulnérables et celle des prises correctives ne se recoupent pas de façon évidente.

Le correctif automatique ne couvre pas tout le monde

D’après un message publié sur les forums communautaires de Check Point, les utilisateurs de Check Point Live Patch (CPLP) ont reçu l’ensemble des protections disponibles pour les deux failles depuis le 9 septembre, et ces correctifs s’appliquent sans redémarrage du serveur.

La nuance compte : cette mitigation automatique n’est proposée que pour R82.10, R82 et R81.20, et elle ne prend pas en charge toutes les configurations. Autrement dit, être client CPLP ne suffit pas à se déclarer protégé — il faut ouvrir la console et vérifier que la protection s’est effectivement appliquée à votre passerelle.

Enfin, pour les déploiements utilisant le composant Site-to-Site VPN, le NCSC recommande de modifier les règles VPN afin d’en restreindre l’accès à des adresses IP précises, jugées de confiance. C’est une mesure de réduction de surface, pas un substitut au correctif.

Le NCSC n’annonce pas une attaque en cours, il annonce celle qui n’a pas encore commencé. C’est exactement la fenêtre pendant laquelle un correctif se planifie encore au lieu de se poser dans l’urgence.