Ing. Calogero Bono
Le 9 novembre 2026, le CSIRT Italia, auprès de l'ACN, a publié l'alerte AL05/261109 sur les mises à jour Check Point pour les vulnérabilités critiques connues sous le nom de PHP2Shell. Elles concernent Firewall, Cloud Firewall, Security Gateway et Spark Firewall. Un attaquant distant non authentifié pourrait exécuter du code arbitraire sur l'appareil. Cela compte, car il s'agit d'équipements de périmètre, censés protéger le réseau de l'entreprise.
Quelques termes, avant d'entrer dans les faits. PHP2Shell est le nom donné à deux vulnérabilités, CVE-2026-109618 et CVE-2026-109619, dans le runtime PHP intégré aux produits. Remote Code Execution signifie exécuter des commandes à distance sur l'appareil. Hotfix est un correctif publié par le constructeur pour une version spécifique. EoS désigne une version hors support, pour laquelle le fournisseur pourrait ne plus publier de correctifs. IPS est le système qui bloque le trafic jugé malveillant.
Qu'a signalé l'ACN sur PHP2Shell ?
L'alerte de l'ACN fait suite à trois communications précédentes sur les mêmes vulnérabilités (AL07/261021, AL01/261025 et AL10/261028). Check Point a maintenant publié un bulletin sur l'impact sur ses produits, avec hotfix et mesures d'atténuation.
Selon le fournisseur, l'exploitation passe par des requêtes construites avec soin vers les interfaces web exposées par les appareils. L'ACN rappelle par ailleurs que des informations techniques sur l'exploitation sont disponibles publiquement, raison pour laquelle elle demande d'intervenir rapidement.
Quels produits et fonctions sont concernés ?
Sont concernés les produits qui utilisent au moins une de ces fonctions.
- Mobile Access Portal (pas pour Spark)
- Remote Access VPN avec SSL Network Extender (pas pour Spark)
- Remote Access VPN avec authentification SAML Realm activée
- Identity Awareness Captive Portal activé
- UserCheck Portal
- Zero Phishing
Pour Firewall, Cloud Firewall et Security Gateway, les versions sont R81.20, R82, R82.10 et R82.20, auxquelles s'ajoutent plusieurs versions EoS de R80 à R81.10. Pour Spark Firewall, il s'agit de R81.10.x et R82.00.x, ainsi que de R77.20.x et R80.20.x hors support.
Qu'est-ce qui n'est pas vulnérable ?
Check Point précise que Security Management Server et Log Server ne semblent pas vulnérables. Il en va de même pour les services Check Point Portal et SaaS, déjà mis à jour. Le fournisseur a déclaré par ailleurs que ses produits ne sont pas affectés par la vulnérabilité CVE-2026-115560.
Qui n'utilise que ces composants, ou aucune des fonctions listées, a donc une exposition différente. Il reste à vérifier appareil par appareil, car la liste dépend de ce qui est activé.
Comment appliquer hotfix et mesures d'atténuation ?
L'ACN, en accord avec le fournisseur, indique ces étapes.
- Installer l'hotfix de sa version sur tous les systèmes concernés.
- Si tu as précédemment appliqué la mitigation manuelle, supprimer d'abord les modifications apportées au fichier $CPDIR/web/Apache/conf/cp-httpd.conf.
- Redémarrer l'appareil à la fin de l'installation.
- Si tu ne peux pas mettre à jour immédiatement, utiliser les mesures temporaires de la section "Mitigation" du bulletin.
Les versions R82.20 disposent d'une protection intégrée, l'IPS "PHP Remote Code Execution", que Check Point indique comme efficace même sans HTTPS Inspection et sans activer le module IPS. Elle ne remplace toutefois pas l'hotfix.
Limites à connaître
L'alerte de l'ACN résume le bulletin du fournisseur et ne décrit pas d'attaques observées en Italie. Nous ne savons pas combien d'appareils sont exposés. Pour les versions EoS, le fournisseur pourrait ne publier aucun hotfix, donc pour ces systèmes la situation peut évoluer. Les instructions détaillées figurent dans le bulletin Check Point, qui ne fait pas partie des sources consultées ici.
Ce qui change pour qui travaille dans le numérique
Si tu gères des réseaux d'entreprise ou en confies la gestion, la première chose est de savoir quelle version tourne sur tes firewalls et quelles fonctions sont actives. Les portails VPN et Captive Portal sont souvent exposés à internet par choix. Si tu t'occupes de serveurs et d'hébergement gérés, le sujet est le même – mettre à jour rapidement ce qui est accessible de l'extérieur. Le cas rappelle aussi celui de Fragnesia, attaqué en même temps que PHP2Shell. Si un appareil est hors support, il faut prévoir son remplacement.
Notre avis
Le point le plus gênant est la liste des versions EoS, nombreuses et anciennes. Un firewall oublié en production pendant des années est un risque qu'aucun hotfix ne résout. Il pèse aussi que la vulnérabilité se trouve dans un composant accessoire, le PHP des interfaces web, et non dans le moteur de filtrage. On imagine souvent le firewall comme un bloc monolithique, alors qu'il présente des surfaces de gestion et d'accès à surveiller. Ceux qui vendent de la sécurité devraient les rendre moins exposées par défaut.
Questions fréquentes
Que sont les vulnérabilités PHP2Shell ?
Ce sont deux failles critiques, CVE-2026-109618 et CVE-2026-109619, dans le runtime PHP intégré à certains produits Check Point. Elles pourraient permettre à un attaquant distant non authentifié d'exécuter du code sur le firewall.
Quels produits Check Point sont touchés ?
Firewall, Cloud Firewall, Security Gateway et Spark Firewall qui utilisent des fonctions comme Mobile Access Portal, le VPN avec SAML, Captive Portal, UserCheck ou Zero Phishing. Security Management Server et Log Server ne semblent pas vulnérables.
Que dois-je faire tout de suite ?
Installe l'hotfix de ta version et redémarre l'appareil. Si tu ne peux pas, applique les mesures temporaires du bulletin Check Point. Si tu avais déjà appliqué la mitigation manuelle, supprime-la avant l'hotfix.
R82.20 est-elle déjà protégée ?
Elle dispose d'une protection intégrée, l'IPS "PHP Remote Code Execution", que le fournisseur indique comme efficace même sans HTTPS Inspection. Elle ne remplace cependant pas l'hotfix, précise l'ACN.
Et les versions non plus supportées ?
Pour les versions EoS, le fournisseur pourrait ne publier aucun hotfix. Restent alors les mesures temporaires et, à moyen terme, le passage à une version supportée.
Ce qu'il faut surveiller dans les prochaines semaines sur les firewalls exposés
L'alerte est la quatrième communication de l'ACN sur PHP2Shell, donc l'affaire n'est pas close. Il vaut la peine de suivre ses évolutions.
- Vérifie si l'ACN publie de nouvelles mises à jour de l'alerte, puisque les précédentes sont déjà au nombre de trois.
- Demande à ton fournisseur si les versions EoS utilisées auront un hotfix ou si elles doivent être remplacées.
- Après l'hotfix, vérifie que les modifications manuelles du fichier de configuration ont bien été retirées et que les services fonctionnent.
