La CISA ajoute des failles Check Point et UnrealIRCd à son catalogue des vulnérabilités connues exploitées

L’Agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a ajouté la CVE-2026-114713, une faille d’injection de commandes dans UnrealIRCd, et la CVE-2026-123039, une faille d’escalade de privilèges locale dans les passerelles de sécurité et les produits de gestion de la sécurité de Check Point, à son catalogue des vulnérabilités connues exploitées (KEV). Les scores CVSS sont de 8,6 pour la faille UnrealIRCd et de 7,8 pour la faille Check Point. Le mainteneur d’UnrealIRCd a confirmé que des attaquants tentaient d’exploiter la faille peu après sa divulgation, sans qu’aucun groupe de menace précis ait été publiquement identifié pour ces tentatives.

Selon Check Point Research, rapportés par Security Affairs, des acteurs de la menace exploitent activement la CVE-2026-123039 dans des attaques contre des passerelles Check Point non corrigées. Les attaquants obtiennent d’abord un accès initial via le portail Mobile Access en exploitant les vulnérabilités PHP2Shell (CVE-2026-109618 et CVE-2026-109619), puis utilisent la CVE-2026-123039 pour élever leurs privilèges au niveau root. La campagne a d’abord visé des organisations israéliennes le 30 octobre 2026, et une seconde vague, le 2 novembre, s’est étendue à des organisations de plusieurs pays et secteurs. Check Point indique que le logiciel malveillant partage des caractéristiques avec PhiliKit, précédemment associé au groupe UNC5221, lié à la Chine, mais que les éléments disponibles ne permettent pas d’attribuer l’ensemble de la campagne à ce groupe.

Au titre de la directive opérationnelle contraignante (BOD) 22-01, les agences fédérales civiles du pouvoir exécutif (FCEB) doivent corriger les vulnérabilités répertoriées avant la date limite fixée par la CISA, soit le 16 novembre 2026.

Pourquoi c’est important Les organisations qui exploitent des passerelles Check Point ou des serveurs UnrealIRCd devraient vérifier que leurs systèmes sont corrigés et examiner leurs journaux à la recherche de l’activité décrite par Check Point Research, notamment les webshells, la porte dérobée TSGA et le wiper destroy_v6 sur les hôtes VMware ESXi. La chaîne d’attaque commence par les failles PHP2Shell : corriger uniquement la faille d’escalade de privilèges peut donc ne pas suffire à réduire l’exposition. L’attribution restant incertaine, les défenseurs devraient considérer la campagne comme non résolue plutôt que liée à un acteur connu.