Check Point a corrigé une vulnérabilité dans Gaia, le système d’exploitation de ses pare-feu et de ses serveurs de gestion.
Des attaquants exploitent une faille dans le logiciel Gaia des pare-feu et serveurs de gestion de Check Point. Le bug permet aux attaquants de prendre le contrôle total des appareils. Check Point publie un correctif.
La faille en question porte la référence CVE-2026-123039. Check Point lui attribue un score CVSS de 7,8, ce qui est considéré comme élevé. Le correctif figure dans les Jumbo Hotfix Accumulators pour R82.20 (à partir de Take 14), R82.10 (à partir de Take 52), R82 (à partir de Take 132) et R81.20 (à partir de Take 174).
Bug dans Gaia
Gaia dispose d’une ligne de commande étendue, la Dynamic CLI. Le composant qui traite ces commandes s’exécute en tant que root, le compte disposant des privilèges les plus élevés sur l’appareil. Il accepte les commandes de n’importe quel programme présent sur l’appareil, sans vérifier qui les envoie, et les exécute en tant que root.
Un attaquant qui a pénétré dans l’appareil avec des droits limités peut ainsi faire exécuter n’importe quelle commande. Il doit toutefois d’abord pouvoir exécuter du code sur l’appareil par un autre moyen.
Dans les attaques déjà menées que décrit Check Point Research, les attaquants sont entrés via le portail Mobile Access de Check Point Security Gateways non corrigées, avec une exploitation qui correspond à PHP2Shell.
Via CVE-2026-123039, ils ont ensuite obtenu un accès root et installé des portes dérobées. Une première vague d’attaques, à partir du 30 octobre, a touché des organisations israéliennes, les attaquants effaçant dans certains cas aussi des fichiers sur des serveurs VMware ESXi. Une deuxième vague, le 2 novembre, a touché des organisations dans plusieurs pays et secteurs.
Appareils touchés
La faille concerne les Check Point Force Firewalls, Management Servers et Log Servers, Multi-Domain Security Management, Multi-Domain Log Server et Maestro Orchestrator. Il s’agit des versions R82.20, R82.10, R82, R81.20, R81.10 et R81. Les Spark Firewalls et Smart-1 Cloud ne sont pas touchés. Pour R81.10 et R81, qui ne bénéficient plus de support, Check Point ne mentionne aucun correctif.
Mettre à jour et vérifier
Les administrateurs installent au plus vite le Jumbo Hotfix correspondant à leur version. S’ils ne peuvent pas le faire immédiatement, ils peuvent désactiver temporairement le composant qui se trouve derrière la Dynamic CLI. Une partie des commandes supplémentaires de la ligne de commande ne fonctionne alors plus. Après la mise à jour, les administrateurs peuvent vérifier avec une seule commande si le correctif est actif.
Un correctif ne supprime pas une porte dérobée déjà installée. Le fichier journal de la Dynamic CLI montre quelles commandes sont arrivées. Selon Check Point, les commandes visant à créer des utilisateurs ou à télécharger des fichiers justifient une enquête plus approfondie. Check Point Research a également publié les adresses IP, noms de fichiers et hashs des attaquants, ce qui permet aux organisations de vérifier si leurs appareils sont infectés.