Des failles de passerelles Check Point ont servi de point d’entrée à un attaquant dans des organisations israéliennes à partir de la fin octobre 2026. L’information vient de The Hacker News, dans un article du 13 novembre 2026. L’attaquant y a installé une porte dérobée, et la dépêche indique que l’opération visait aussi à effacer des fichiers de serveurs de virtualisation.
L’essentiel
- Une porte dérobée nommée TSGA a été déployée après l’exploitation d’équipements de sécurité laissés sans correctif.
- Selon la dépêche, l’attaque sert aussi à effacer des fichiers de serveurs de virtualisation ESXi.
- Les organisations visées sont israéliennes, et le scénario reste instructif pour une PME québécoise équipée du même type de matériel.
Ce que l’on sait de l’incident
Selon The Hacker News, dans un article du 13 novembre 2026, un acteur de menace non identifié cible des passerelles Check Point Security Gateways laissées sans correctif. L’activité, détaillée par Check Point, a commencé le 30 octobre 2026 et visait des organisations israéliennes. L’incident est donc survenu en Israël, pas au Canada.
La dépêche décrit un enchaînement en deux temps. L’accès initial passe par les vulnérabilités dites PHP2Shell, puis par une faille d’élévation de privilèges locale dans Gaia OS, jusqu’ici non signalée, qui permet d’installer la porte dérobée. Nous n’entrons pas dans le détail technique : il appartient aux équipes qui appliquent les correctifs.
La source ne nomme aucune victime et ne précise pas leur secteur d’activité. Elle ne chiffre pas non plus l’impact. Rappelons ce qu’est une passerelle de sécurité : l’équipement qui filtre les échanges entre Internet et le réseau interne. Si cette pièce cède, l’exposition du réseau interne et le niveau de privilèges obtenu dépendent notamment de l’architecture en place et des vulnérabilités exploitées.
Les failles de passerelles Check Point touchent aussi les petites organisations
Un équipement de sécurité exposé à Internet est visible de partout. Des attaques opportunistes balayent ces adresses et peuvent revenir sur celles qui n’ont pas été mises à jour. La campagne décrite par la source visait, elle, des organisations israéliennes : rien n’indique un balayage sans distinction. Une PME de vingt personnes reste toutefois aussi repérable qu’une grande entreprise.
L’effacement de fichiers de virtualisation peut peser lourd sur une petite organisation. Beaucoup de PME font tourner leur comptabilité, leur messagerie et leur gestion de production sur un seul hôte, où dorment parfois aussi les sauvegardes. Un hôte vidé peut interrompre la facturation, retarder des livraisons et pousser des clients à aller voir ailleurs; l’ampleur et la durée dépendent de l’état des sauvegardes et de la capacité à restaurer.
Le Centre canadien pour la cybersécurité place la mise à jour des logiciels et la protection des sauvegardes parmi ses contrôles de base pour les petites et moyennes organisations. Des catalogues publics, comme celui de la CISA, recensent les vulnérabilités dont l’exploitation est confirmée et servent à décider quel correctif passe en premier.
Les vérifications à faire cette semaine
Aucune de ces vérifications ne demande d’outil particulier. Elles consistent à savoir quel équipement protège votre accès Internet, depuis quand il a été mis à jour, et si vos sauvegardes survivraient à l’effacement du serveur qui les héberge. La direction peut lancer ces demandes aujourd’hui.
- Demandez à votre prestataire informatique la marque, le modèle, la version et la date du dernier correctif de l’équipement qui filtre votre accès Internet (direction).
- Vérifiez qu’une copie de sauvegarde existe hors du serveur de virtualisation et reste inaccessible depuis le réseau courant (prestataire informatique).
- Testez la restauration d’un dossier comptable choisi au hasard, pour confirmer que la copie est lisible (comptabilité, avec le prestataire).
Il n’existe pas de protection absolue, et aucun prestataire ne peut garantir un risque zéro. Méfiez-vous de tout discours qui promet une protection totale. Un inventaire à jour et des sauvegardes hors ligne, en revanche, rendent ce scénario nettement plus difficile.
FAQ
Mon entreprise est-elle touchée si elle utilise une passerelle Check Point ?
La dépêche ne publie aucune liste d’organisations touchées et ne mentionne aucune victime canadienne. La bonne question n’est pas de savoir si vous figurez sur une liste, mais si votre équipement est à jour. Demandez la version installée et les correctifs en attente à la personne qui gère votre réseau. Si le matériel n’est plus suivi par son fabricant, planifiez son remplacement.
Pourquoi un attaquant s’en prendrait-il à une PME de chez nous ?
Parce qu’une attaque opportuniste ne trie pas nécessairement par taille d’entreprise : un équipement exposé et non corrigé peut attirer l’attention quel que soit le chiffre d’affaires. La campagne décrite par la source, elle, visait des organisations israéliennes. Le Centre canadien pour la cybersécurité rappelle que toutes les organisations canadiennes sont concernées. Une PME n’a pas besoin d’être une cible choisie pour être atteinte.
Combien coûte un arrêt causé par ce genre d’incident ?
Le coût se mesure d’abord en jours sans facturation, en commandes reportées et en clients qui vont voir ailleurs. Les frais informatiques n’en sont qu’une partie. Nous n’affichons ni tarif ni fourchette : chaque contexte client est unique, et un chiffre sorti de son contexte serait trompeur. L’exercice utile consiste à estimer ce que vaut une journée complète d’arrêt chez vous.
Sources
- The Hacker News · presse, 13 novembre 2026
- Centre canadien pour la cybersécurité : contrôles de cybersécurité de base pour les petites et moyennes organisations · liste de contrôles de référence
- CISA, Known Exploited Vulnerabilities Catalog · vulnérabilités dont l’exploitation est confirmée
Source : The Hacker News · https://thehackernews.com/2026/11/hackers-exploit-php2shell-flaws-in.html
Article préparé par la veille de RISS Canada à partir des sources publiques citées ci-dessus, avec l’aide d’outils d’intelligence artificielle, puis contrôlé selon notre charte éditoriale.
