La vulnérabilité Check Point CVE-2026-16232 fait désormais l’objet d’une alerte de la Cybersecurity and Infrastructure Security Agency (CISA). L’agence américaine a inscrit cette faille dans son Known Exploited Vulnerabilities Catalog (KEV) après la confirmation de son exploitation dans des attaques réelles.
Avec un score CVSS de 9,3, cette vulnérabilité affecte les plateformes Check Point Security Management et Multi-Domain Management. Exploitable à distance sans authentification, elle permet à un attaquant d’obtenir un jeton de connexion offrant des privilèges administrateur complets. Face à ce risque, la CISA recommande aux organisations concernées d’appliquer immédiatement les correctifs publiés par Check Point. Les détails de l’alerte sont disponibles sur le catalogue KEV de la CISA : https://www.cisa.gov/known-exploited-vulnerabilities-catalog.
Vulnérabilité Check Point CVE-2026-16232 : une authentification contournée
La CVE-2026-16232 est une vulnérabilité de type CWE-287 (Improper Authentication). Elle résulte d’un mécanisme d’authentification défaillant au sein de SmartConsole, l’interface de gestion des solutions Check Point.
Selon l’avis de sécurité publié par Check Point, un attaquant distant non authentifié peut obtenir un jeton d’authentification valide, lui permettant d’accéder à l’interface de gestion avec les privilèges d’un administrateur.
Une fois connecté, le pirate peut :
- modifier les politiques de sécurité ;
- créer ou supprimer des administrateurs ;
- déployer des configurations malveillantes ;
- désactiver certaines protections ;
- compromettre l’ensemble de l’infrastructure de sécurité.
Check Point indique que cette vulnérabilité a été identifiée lors d’un audit interne réalisé dans le cadre de son programme Frontier AI Readiness utilisant la méthodologie BLAST (Business Logic Attack Surface Testing). Les informations techniques sont disponibles dans le bulletin de sécurité officiel de Check Point : https://support.checkpoint.com/.
Des attaques déjà observées sur Internet
Contrairement à de nombreuses vulnérabilités critiques, la vulnérabilité Check Point CVE-2026-16232 n’est pas une menace théorique.
Check Point confirme que la faille a déjà été exploitée contre un nombre limité de clients avant même sa divulgation publique.
Les investigations montrent que les attaques ciblaient principalement les environnements où les interfaces de gestion étaient directement accessibles depuis Internet, sans filtrage d’adresses IP.
Cette mauvaise configuration augmente considérablement la surface d’attaque et facilite les tentatives d’exploitation automatisées.
Afin d’aider les équipes SOC et CERT, Check Point a publié plusieurs indicateurs de compromission (IoC), notamment les adresses IP suivantes observées lors des attaques :
- 151.241.99.207
- 151.241.99.233
- 158.62.198.182
- 192.142.10.99
- 139.28.37.250
- 194.213.18.137
Les organisations sont invitées à rechercher ces indicateurs dans leurs journaux réseau et leurs solutions SIEM afin d’identifier d’éventuelles tentatives de compromission.
Plusieurs autres vulnérabilités critiques corrigées
Le même avis de sécurité publié par Check Point corrige également deux autres vulnérabilités importantes.
La première, CVE-2026-62144, obtient également un score CVSS de 9,3. Elle permet un nouveau contournement de l’authentification pouvant conduire à une élévation de privilèges. À ce stade, aucune exploitation active n’a toutefois été observée.
La seconde, CVE-2026-62145, affecte l’interface Web de GaiaOS. Avec un score CVSS de 7,5, elle permet une élévation locale de privilèges. Même si cette faille n’est pas exploitée dans la nature, Check Point recommande son traitement rapide afin de réduire le risque global.
Les références de ces vulnérabilités sont consultables dans la base MITRE CVE : https://www.cve.org/ ainsi que dans la National Vulnerability Database (NVD) : https://nvd.nist.gov/.
Les versions concernées
Selon Check Point, les versions suivantes sont directement affectées :
- R81.10
- R81.20
- R82
- R82.10
L’éditeur précise toutefois que certaines versions plus anciennes pourraient également être vulnérables si elles n’ont pas reçu les derniers correctifs de sécurité.
Les entreprises utilisant des environnements de gestion Check Point doivent vérifier rapidement leur version logicielle et leur niveau de correctifs.
Comment se protéger ?
Check Point et la CISA recommandent plusieurs mesures de protection immédiates.
La priorité reste l’installation du dernier Jumbo Hotfix, publié le 22 juillet 2026, qui corrige la CVE-2026-16232 ainsi que plusieurs autres vulnérabilités critiques.
En complément, les administrateurs doivent :
- limiter l’accès aux interfaces de gestion aux seules adresses IP de confiance ;
- interdire toute exposition directe de SmartConsole sur Internet ;
- renforcer les règles de pare-feu protégeant les interfaces d’administration ;
- vérifier que les règles implicites de contrôle sont activées ;
- surveiller les journaux système afin de détecter d’éventuelles activités suspectes.
Ces mesures permettent de réduire fortement le risque d’exploitation avant même l’application complète des correctifs.
Pourquoi cette vulnérabilité est particulièrement dangereuse
Les interfaces d’administration constituent des cibles privilégiées pour les cybercriminels.
Contrairement à une vulnérabilité affectant un simple poste utilisateur, une compromission de Check Point Security Management permet à un attaquant de contrôler l’ensemble de la politique de sécurité d’une organisation.
Il peut ainsi modifier les règles de filtrage, créer des accès persistants, désactiver les mécanismes de protection ou faciliter des attaques latérales contre le réseau interne.
L’inscription rapide de cette faille dans le catalogue KEV de la CISA confirme que le risque est considéré comme particulièrement élevé pour les infrastructures critiques.
Conclusion
La vulnérabilité Check Point CVE-2026-16232 représente une menace critique pour les organisations utilisant les plateformes Security Management et Multi-Domain Management. Exploitée activement dans la nature, elle permet à un attaquant non authentifié d’obtenir un accès administrateur complet, avec un risque de compromission totale de l’infrastructure.
Les systèmes exécutant les versions R81.10, R81.20, R82 et R82.10 doivent être considérés comme prioritaires. Les équipes de sécurité doivent appliquer sans délai le Jumbo Hotfix publié par Check Point, restreindre l’accès aux interfaces de gestion, rechercher les indicateurs de compromission dans leurs journaux et maintenir une surveillance continue des environnements exposés.
