CVE-2026-16232 : ce qu’il faut vérifier sur votre serveur de gestion Check Point
La CVE-2026-16232 est exploitée activement depuis le 22 juillet 2026. Elle ne vise pas votre pare-feu, mais la machine qui lui pousse ses politiques : le serveur de gestion Check Point. C’est précisément la machine qu’on oublie — celle qui tourne dans un coin depuis quatre ans, ou celle qu’opère votre fournisseur d’infogérance sans que personne chez vous n’en connaisse la version.
La réponse courte
Si votre organisation exploite un serveur Check Point Security Management ou Multi-Domain Security Management :
- Vérifiez d’abord l’exposition. Selon Check Point, l’exploitation observée ne touche que les serveurs de gestion joignables directement depuis Internet sans restriction d’adresses IP. Si le vôtre n’est accessible que depuis votre réseau interne, vous avez du temps devant vous — pas une dispense.
- Appliquez le Jumbo Hotfix correspondant à votre version (détail plus bas).
- Restreignez les « Trusted Clients » à des adresses IP précises plutôt qu’à « Any ». C’est l’atténuation recommandée par l’éditeur, et elle vaut aussi après le correctif.
- Si vous êtes sur R81.10 ou antérieur, il n’existe aucun correctif. C’est le point qui va coûter cher à plusieurs organisations québécoises.
Ce que la faille permet — et ce qu’elle ne permet pas
L’avis technique de l’éditeur décrit le problème sans détour :
« Un attaquant non authentifié peut obtenir un jeton d’application et l’utiliser pour ouvrir une session SmartConsole avec les pleins privilèges d’administrateur, et appliquer des changements à la politique de sécurité et à la configuration de sécurité. » (traduction de l’avis sk185169)
Autrement dit : l’attaquant devient administrateur de votre politique de sécurité. Il peut ouvrir un port, créer une règle de contournement, désactiver une inspection. Il ne « perce » pas le pare-feu — il lui donne des ordres légitimes.
Le NVD classe la CVE-2026-16232 à 9,1 sur 10 (CVSS 3.1, vecteur AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:N) et la rattache à CWE-287, « authentification incorrecte ». Check Point publie pour sa part un score de 9,3 dans son avis de sécurité. Les deux chiffres pointent la même conclusion : critique, exploitable à distance, sans authentification préalable.
Ce qu’il ne faut pas conclure : que toute installation Check Point est compromise. L’éditeur indique n’avoir observé l’exploitation que chez « une poignée de clients », dans une configuration précise. Nuance utile — mais qui ne dispense pas du correctif, puisque la faille reste exploitable dès qu’un accès réseau au serveur de gestion existe.
Quelles versions sont touchées
D’après l’avis sk185169 de l’éditeur :
| Version | État | Correctif disponible |
|---|---|---|
| R82.10 | Touchée | Jumbo Hotfix Accumulator, à partir du Take 36 |
| R82 | Touchée | Jumbo Hotfix Accumulator, à partir du Take 118 |
| R81.20 | Touchée | Jumbo Hotfix Accumulator, à partir du Take 158 |
| R81.10, R81, R80.40, R80.30, R80.20, R80.10, R80, R77.30 | Touchées, fin de support (EOS) | Aucun |
L’agence américaine CISA a inscrit la CVE-2026-16232 à son catalogue des vulnérabilités activement exploitées le 22 juillet 2026, avec une échéance de correction au 25 juillet 2026. Précision qui a son importance ici : cette échéance lie les agences fédérales civiles américaines, pas les organisations québécoises. Elle vous sert d’indicateur de gravité, pas d’obligation.
Le vrai piège : les versions en fin de support
Huit versions touchées n’auront pas de correctif. Une municipalité de 6 000 habitants qui roule un R80.40 stable depuis 2021 n’a pas un problème de correctif : elle a un problème de migration, avec un budget qui n’était pas prévu pour ça cette année.
Dans ce cas, l’atténuation devient la mesure principale, pas un pis-aller en attendant mieux :
- Retirer toute exposition du serveur de gestion à Internet. Aucune interface d’administration n’a de raison d’être publiée.
- Limiter les « Trusted Clients » (clients GUI) à des adresses ou sous-réseaux nommés. « Any » n’est pas une configuration, c’est une absence de configuration.
- Placer l’accès d’administration derrière un accès distant contrôlé, avec authentification multifacteur sur les comptes concernés.
- Inscrire la migration au plan, avec une date. Une version en fin de support ne reçoit pas le prochain correctif non plus.
C’est le même raisonnement que pour n’importe quelle dette technique de sécurité : voir notre article sur la gestion des correctifs de sécurité en entreprise.
Comment savoir si vous avez été visé
L’avis sk185169 fournit deux éléments exploitables tout de suite. D’abord une liste d’adresses IP observées lors des attaques — consultez-la directement dans l’avis, elle est susceptible d’être mise à jour. Ensuite, un marqueur dans les journaux d’audit : cherchez les événements de connexion portant la mention « Authentication method: application token ».
Une connexion administrateur par jeton d’application que vous ne pouvez pas rattacher à une activité légitime mérite un traitement d’incident, pas une explication rassurante.
Ce que prévoit la Loi 25 si des renseignements personnels sont en cause
Une compromission du serveur de gestion n’est pas automatiquement un incident de confidentialité. Le lien se fait seulement si des renseignements personnels ont été touchés — parce que l’attaquant a ouvert un chemin vers un système qui en contient, par exemple.
La Commission d’accès à l’information définit l’incident de confidentialité comme tout accès, utilisation ou communication de renseignements personnels non autorisé par la loi, ainsi que leur perte ou toute autre atteinte à leur protection (CAI, entreprises privées).
Deux éléments à retenir sur le plan technique :
- Le registre couvre tous les incidents, y compris ceux qui ne présentent pas de risque de préjudice sérieux. Les renseignements consignés se conservent au minimum cinq ans. Notre guide du registre des incidents de confidentialité détaille le contenu attendu.
- L’avis à la Commission et aux personnes concernées est prévu lorsque l’incident présente un risque qu’un préjudice sérieux soit causé. La CAI indique que l’appréciation de ce risque tient compte de la sensibilité des renseignements, des conséquences appréhendées de leur utilisation et de la probabilité qu’ils soient utilisés à des fins préjudiciables.
Les municipalités relèvent du régime des organismes publics, dont les obligations en matière d’incidents suivent une logique voisine mais un texte différent (CAI, organismes publics). Voir aussi notre checklist de conformité Loi 25 pour une municipalité.
Les modalités d’application varient selon votre organisation ; validez-les avec votre conseiller juridique. Côté technique, ce qui compte est d’avoir conservé les journaux permettant d’établir ce qui a été atteint — et ce qui ne l’a pas été.