--- title: "Check Point : correctifs d'urgence pour un zero-day qui serait exploité" description: "Check Point a publié des correctifs d'urgence pour une faille de Gaia OS qui serait exploitée depuis fin octobre pour obtenir les droits root. Selon l'éditeur, cité par Bleeping Computer, une passerelle compromise aurait servi de point de départ au déploiement d'un wiper sur un hôte VMware ESXi." canonical: https://inyourgeek.com/articles/2026-11-14-check-point-correctifs-d-urgence-pour-un-zero-day type: article author: "Sébastien Soulier" publisher: "InYourGeek" language: fr datePublished: 2026-11-14 dateModified: 2026-11-14 section: "Sécurité" tags: ["checkpoint", "zeroday", "esxi", "wiper"] --- # Check Point : correctifs d'urgence pour un zero-day qui serait exploité > Check Point a publié des correctifs d'urgence pour une faille de Gaia OS qui serait exploitée depuis fin octobre pour obtenir les droits root. Selon l'éditeur, cité par Bleeping Computer, une passerelle compromise aurait servi de point de départ au déploiement d'un wiper sur un hôte VMware ESXi. 14 novembre 2026 · Sécurité · 3 min L'information repose à ce stade sur une source unique : un article de [Bleeping Computer](https://www.bleepingcomputer.com/news/security/check-point-patches-zero-day-that-lets-hackers-get-root-access/) publié le 13 novembre 2026, qui relaie un avis de sécurité diffusé jeudi par Check Point et un rapport distinct de l'éditeur. Elle est donc rapportée ici au conditionnel. ## Ce qui s'est passé Check Point aurait publié des correctifs d'urgence pour la CVE-2026-123039, une faille de gravité élevée permettant une élévation locale de privilèges. D'après l'avis cité par Bleeping Computer, elle serait exploitée depuis fin octobre pour obtenir les droits root et s'installer durablement sur les équipements vulnérables. L'éditeur dit avoir observé une exploitation active chez quelques dizaines de clients. Le défaut se situerait dans l'interface de communication inter-processus DynamicCLI de Gaia OS. Le démon dynamic_server tournerait avec les droits root et écouterait sur un socket local accessible en écriture à tous, /tmp/dynamic_socket, sans authentifier les processus qui s'y connectent. Un utilisateur local authentifié pourrait ainsi y envoyer une commande et la faire exécuter en tant que root. ## Qui est concerné La liste des produits vulnérables rapportée par Bleeping Computer comprend Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway et Security Management Server. La faille ne s'exploite pas seule depuis l'extérieur : elle suppose un accès local préalable. Selon le rapport de Check Point, les attaquants l'auraient obtenu en exploitant d'abord les vulnérabilités PHP2Shell sur le portail Mobile Access, avant d'utiliser la CVE-2026-123039 pour passer root. ## De la passerelle à l'hôte ESXi Toujours selon ce rapport, les attaquants auraient ensuite déposé des webshells, puis installé la porte dérobée TSGA et le maliciel TSProxy, déjà repérés lors d'enquêtes sur des attaques visant des équipements Ivanti. Ils auraient enfin rebondi depuis la passerelle compromise vers un hôte VMware ESXi pour y déployer un maliciel destructeur de type wiper. L'enjeu dépasse donc l'équipement lui-même : une passerelle de sécurité compromise donnerait accès à l'infrastructure de virtualisation située derrière elle, avec destruction de données à la clé. ## Que faire Trois mesures ressortent des recommandations de Check Point telles que les rapporte Bleeping Computer : - **Appliquer les correctifs d'urgence** publiés pour la CVE-2026-123039. - **À défaut de pouvoir corriger immédiatement**, arrêter le processus dynamic_server et empêcher son redémarrage, à titre de mesure temporaire. - **Rechercher des traces de compromission** à l'aide des indicateurs partagés par l'éditeur. Sur ce dernier point, Check Point indiquerait trois signaux à vérifier : la présence de commandes couramment associées aux tentatives d'exploitation, l'usage de la fonction system(), rare ou absente du trafic légitime, et les commandes qui ne passent pas par l'enveloppe Clish par défaut. Ce dernier cas signalerait une exécution en root via le socket et appellerait une investigation plus poussée. L'exploitation remontant à fin octobre, la recherche de traces s'impose même une fois le correctif appliqué. ## Un précédent récent Bleeping Computer rappelle qu'en septembre, Check Point avait déjà alerté sur l'exploitation de deux autres failles critiques d'exécution de code à distance, la CVE-2026-93616 dans Security Management Server et la CVE-2026-85102 dans Security Gateway, lors d'attaques qui ne nécessitaient aucun privilège sur les systèmes visés. Le média ajoute qu'en deux ans, la CISA américaine a inscrit cinq failles Check Point à son catalogue des vulnérabilités activement exploitées, dont deux ont aussi été utilisées par des groupes de rançongiciel. Corriger ferme la porte, mais ne dit rien de qui est déjà entré. Sur un équipement exposé depuis fin octobre, la vérification des journaux compte autant que le correctif. ## Sources - [Check Point warns of zero-day flaw exploited for root access](https://www.bleepingcomputer.com/news/security/check-point-patches-zero-day-that-lets-hackers-get-root-access/) — bleepingcomputer.com _Article rédigé avec assistance IA à partir des sources citées, relu et validé par un humain avant publication._ --- Page HTML équivalente : https://inyourgeek.com/articles/2026-11-14-check-point-correctifs-d-urgence-pour-un-zero-day Publié par InYourGeek — https://inyourgeek.com/a-propos Méthode et garde-fous : https://inyourgeek.com/methode Tous les articles : https://inyourgeek.com/archives