Check Point : une faille de privilèges exploitée dans une chaîne d’attaques PHP2Shell
Le 13 novembre 2026, l’éditeur israélien Check Point a annoncé des correctifs pour trois vulnérabilités de ses équipements et serveurs de sécurité. CVE-2026-123039, dans DynamicCLI, permet une élévation locale de privilèges et fait déjà l’objet de quelques exploitations réelles, selon l’entreprise. Les produits Management, Multi-Domain, Log Servers et Security Gateway, de R80.30 à R82.20, sont concernés.
Cette faille apparaît dans une enquête publiée le 12 novembre : Check Point décrit une chaîne associant un accès initial par PHP2Shell sur des portails Mobile Access non corrigés, puis une prise de privilèges et l’installation de portes dérobées. Une première vague, le 30 octobre, visait des organisations israéliennes ; certains cas comportaient des destructions de données, dont une intrusion ayant atteint un hôte VMware ESXi. Une seconde vague, le 2 novembre, touchait plusieurs pays, sans destruction observée. L’identité et les motivations des responsables restent incertaines.
L’avis du 13 novembre regroupe aussi CVE-2026-107484, concernant Gaia Portal sur R81.20, R82 et R82.10, et CVE-2026-120490, limitée aux plateformes Scalable R81.20 et R82. L’éditeur ne rapporte pas d’exploitation active de ces deux failles.
Il recommande d’installer le nouveau paquet Jumbo Hotfix correspondant à chaque version et de suivre ses fiches techniques. Une mise à jour n’exclut pas la nécessité d’investiguer un équipement déjà compromis. Ces constats proviennent de l’éditeur, pas d’un bilan indépendant de toutes les victimes.
Sources :
