Des attaquants ont passé deux mois dans le cerveau du pare-feu de Check Point. L'action, elle, a grimpé.

Le grep qui révèle que juillet a bien eu lieu

Quelque part cette semaine, un administrateur lance un grep d'une ligne dans les journaux de la machine qui écrit la politique de pare-feu de toute l'entreprise. L'avis de sécurité de Check Point le demande : la recherche de noms de connexion trop longs↗, c'est ainsi qu'une entreprise découvre si la CVE-2026-93616, une traversée de répertoires (path traversal) exploitable avant authentification et notée 9,8 sur 10, a permis à un inconnu d'exécuter des scripts sur le serveur de gestion sans mot de passe ¹. « Pas besoin de casser le pare-feu quand on peut lui dire quoi autoriser », résume Aaron Beardslee, responsable de la recherche sur les menaces chez Securonix↗ ².

Les attaquants ont tenu cette position du 23 juillet jusqu'à l'arrivée du correctif, le 22 septembre↗ ¹³. La même semaine, le titre franchissait sa moyenne mobile à 200 jours↗ ⁴.

Deux mois de silence, puis trois jours pour se mettre en règle

Le 22 septembre, la CISA a regroupé les deux failles de Check Point, notées 9,8 sur 10 chacune, dans un même lot de son catalogue des vulnérabilités connues comme exploitées (Known Exploited Vulnerabilities), laissant aux agences fédérales jusqu'au 25 septembre, au titre du BOD 26-04↗ ³⁵. La fenêtre de silence de l'éditeur a duré deux mois ¹ ; celle de remédiation du gouvernement, trois jours ³⁵.

Le correctif ne touche pas tout le monde. Toutes les anciennes versions R80 et R81 sont concernées et ne sont plus supportées : la seule remédiation est une montée en version, pas un correctif ponctuel↗ ¹⁶. Un serveur de gestion corrigé juste assez pour neutraliser la faille VPN distincte de septembre reste à portée de ce bug ⁶.

Les milliers de machines exposées sont des passerelles, pas le cerveau

Les plus de 13 000 équipements Check Point exposés sur Internet et recensés dans le monde en juin 2024 sont des passerelles VPN : la surface d'attaque de la faille associée, CVE-2026-85102, et non celle du plan de gestion compromis ⁵. Cette faille a été corrigée le 9 septembre. Dès le 10, le NCSC néerlandais avertissait d'une exploitation imminente. Et, selon le vice-président recherche de Check Point, Lotem Finkelstein, une vague de tentatives a visé des clients de Spark à partir du 12↗ ⁷⁸. Les serveurs de gestion, eux, ne sont jamais censés être exposés sur Internet ².

Les grep ne sont donc pas les mêmes. Les entreprises qui s'appuient sur des passerelles auditent leurs journaux VPN en remontant jusqu'au 12 septembre↗ ⁵ ; celles qui hébergent un serveur de gestion, une machine de toute façon accessible, passent au crible deux mois d'artefacts ¹.

Le calme coté 141 dollars

Le 24 septembre, le titre est passé au-dessus de sa moyenne mobile à 200 jours, établie à 134,13 dollars, pour toucher 141,29 dollars : le groupe pèse 13,92 milliards de dollars, à 13,95 fois les bénéfices ⁴. Le trimestre clos en juin s'est soldé par 673,6 millions de dollars de chiffre d'affaires, en hausse de 1,3 % sur un an, et par un bénéfice par action au-dessus des attentes, à 2,55 dollars contre 2,45 dollars ⁴.

La feuille de route IA n'a jamais marqué de pause

Pendant que la faille zero-day se faisait discrète, le groupe a publié une synthèse sur des modèles d'IA s'échappant de leur propre environnement de test↗ ¹⁰ et intégré les modèles cyber Daybreak d'OpenAI à Keystone, la même gamme de gestion de la sécurité, dont une partie est déjà en production↗ ¹¹. Keystone doit désormais dire si elle hérite du modèle de confiance qui vient de partir en fumée.

Check Point assure que l'accès aux modèles est restreint et leurs sorties vérifiées avant toute action des systèmes ¹¹. Le calcul du rayon d'impact reste, lui, inchangé : « Si une console gère cinquante passerelles, sa compromission est cinquante fois plus grave que celle de n'importe quelle passerelle », résume Frank Dickson, de Dickson Research ².

Une prime qui se défend

Les attaques ont été chirurgicales et n'ont touché qu'une poignée de clients ; des correctifs existent pour chaque branche encore supportée ¹³. Les produits de sécurité sont des logiciels, et les logiciels ont des bugs ². Vingt-sept analystes recommandent « conserver » le titre, avec un objectif de cours moyen de 148,74 dollars : un haussement d'épaules, pas une sortie ⁴.

Pour l'heure, la prime reste à Check Point et à ses actionnaires. Le risque résiduel pèse sur les entreprises restées sous R80 et R81, des versions hors support, qui n'ont pas de correctif ponctuel à installer et une montée en version à budgéter ¹⁶.

Le grep plutôt que le cours

Le correctif ferme la porte ; il n'expulse pas celui qui l'a franchie en juillet ². Le signe révélateur viendra de la première entreprise à le découvrir. L'action a voté. Les logs, pas encore.