Introduction
Le 9 septembre 2026, Check Point publie en urgence des correctifs pour deux vulnérabilités critiques affectant ses passerelles VPN. Quatre jours plus tard, le 13 septembre, le Centre national de cybersécurité néerlandais (NCSC) sonne l'alarme publique : une exploitation à grande échelle est imminente, et une proportion significative du parc installé reste non corrigée.
Ce délai de quatre jours — entre la disponibilité du correctif et l'avertissement d'un régulateur national — n'est pas anodin. Il interroge directement la maturité des processus de patch management dans les entreprises qui exploitent des équipements réseau critiques.
Deux failles, un score maximal
Les deux vulnérabilités, référencées CVE-2026-85102 et CVE-2026-85103, obtiennent toutes deux un score CVSS de 9,8 sur 10. La première concerne une validation défaillante des données de certificat lors de la négociation VPN ; elle permet à un attaquant non authentifié d'exécuter du code arbitraire sur une Quantum Security Gateway. La seconde est un débordement de tampon dans le décodeur ASN.1 des certificats, exploitable sur les Security Gateways, les Security Management Servers et les équipements de la gamme Quantum Spark.
Les versions concernées couvrent les branches R81.20, R82 et R82.10 en dessous des seuils corrigés (respectivement Take 166, Take 126 et Take 44), ainsi que plusieurs versions antérieures en fin de support. À ce jour, aucune exploitation confirmée n'a été signalée dans la nature — mais le NCSC est explicite : il ne s'agit que d'une question de temps.
La vraie question pour votre DSI
L'enjeu technique est clair : appliquer les correctifs disponibles et restreindre les accès UDP 500 et 4500 aux seules adresses IP de confiance en attendant la mise à jour. Check Point propose également une LivePatch pour les environnements qui ne peuvent pas interrompre leur service.
Mais derrière le correctif se pose une question organisationnelle que trop peu de directions informatiques formalisent : votre équipe est-elle capable de déployer un patch d'urgence sur un composant réseau critique en moins de 48 heures, sans causer d'interruption de service non planifiée ?
Pour les VPN d'accès distant, la réponse est rarement oui par défaut. Ces équipements sont souvent traités comme de l'infrastructure stable, peu mise à jour, en dehors du cycle habituel de patch management. C'est précisément ce biais qui en fait des cibles de choix : ils sont exposés sur Internet, souvent peu surveillés, et leur maintenance implique une coordination entre équipes réseau, sécurité et métiers qui n'est pas toujours rodée.
NIS2 et l'obligation de réactivité
La directive NIS2, transposée dans le droit national depuis début 2025, impose aux entités essentielles et importantes une gestion active des vulnérabilités dans le cadre de leurs mesures de cybersécurité. Cela inclut la capacité à traiter les correctifs critiques dans des délais compatibles avec le niveau de risque — ce qui, pour un CVSS 9,8 avec exploitation imminente annoncée, ne se mesure pas en semaines.
Les équipements VPN figurent très fréquemment dans le périmètre NIS2 des organisations industrielles, des prestataires de services numériques et des opérateurs d'infrastructures critiques. Un retard de déploiement n'est plus seulement un risque technique : c'est un écart de conformité documentable, susceptible d'alimenter un dossier en cas d'incident.
Ce que cela implique concrètement
L'incident Check Point est une opportunité de tester le processus avant que l'exploitation ne le teste à leur place. Quelques points de contrôle immédiats : vérifier l'inventaire exact des versions déployées, valider que la procédure de déploiement LivePatch ou Jumbo Hotfix est bien documentée et réalisable sous contrainte, et s'assurer que les restrictions d'accès VPN aux IP de confiance sont en place dans l'intervalle.
La fenêtre de vulnérabilité ouverte aujourd'hui ne durera pas. La question est de savoir si vos processus seront prêts à la refermer avant que quelqu'un d'autre ne la franchisse.