Le vrai rayon d’explosion se trouve dans les consoles
Le titre de travail correspond au sujet: Check Point exposes infrastructure alarm. Le signal de sécurité le plus important de ces dernières 72 heures n’est pas une vulnérabilité isolée. C’est la répétition d’un même modèle sur des passerelles périmétriques, des outils RMM, des pipelines CI, des registres de conteneurs et des clouds GPU partagés: les attaquants visent les systèmes qui administrent les autres systèmes.
Check Point Research a reconstitué des intrusions parties de Security Gateways non corrigées, exposant des portails Mobile Access vulnérables, avec un enchaînement entre l’accès initial PHP2Shell et une élévation locale de privilèges dans Gaia OS, suivie sous le nom CVE-2026-123039 . Les opérateurs n’ont pas simplement compromis l’appliance. Ils ont installé des web shells PHP, déployé la porte dérobée TSGA et son composant TSProxy, scanné le réseau interne, puis, dans un cas étudié, pivoté vers un hôte VMware ESXi par SSH avant d’exécuter un wiper Linux nommé destroy_v6 .
C’est le cœur du problème. Une passerelle n’est pas un serveur quelconque. Elle voit le trafic, occupe une position de confiance et se trouve souvent proche des chemins d’administration. Une fois transformée en point d’appui, elle peut servir de rampe de lancement vers la virtualisation, l’identité ou les sauvegardes.
Check Point: du portail vulnérable au wiper ESXi
Selon Check Point, les premiers signes d’exploitation datent du 30 octobre 2026 sur des passerelles Mobile Access, avec des artefacts de session et de nombreux plantages de workers PHP suggérant des tentatives répétées contre le portail . Après l’accès initial, les attaquants ont exploité CVE-2026-123039 dans l’interface DynamicCLI pour obtenir les privilèges root, puis déposer des web shells PHP dans les modèles utilisés par le portail pour construire ses pages de connexion .
Le jeu d’implants est particulièrement inquiétant. TSGA, installé sous le nom slot_CPconfigdaemon, donne un accès distant chiffré, permet le vol de configuration, la persistance dans les sauvegardes et snapshots, l’injection de processus et l’altération des journaux firewall . TSProxy, intégré à TSGA sous forme de bibliothèque partagée, fournit un accès proxy dissimulé via des processus de l’appliance, ce qui permet à l’intrus de se fondre dans des services légitimes plutôt que d’exposer un simple port suspect .
La phase destructive montre pourquoi l’expression “équipement de périphérie” minimise le risque. Check Point rapporte un mouvement latéral vers un hôte VMware ESXi au moyen du compte de service vpxuser, puis le dépôt et l’exécution de destroy_v6, accompagné de notes DREAM_ANNEXATION.txt . The Hacker News a décrit la même campagne comme une exploitation de failles PHP2Shell et d’un bug d’élévation de privilèges Gaia permettant de déployer TSGA et d’effacer des fichiers ESXi sur des systèmes non corrigés .
La leçon ne se limite donc pas à “corriger Check Point”. Elle est plus large: les appliances périmétriques peuvent être assez proches de la virtualisation et des chemins d’administration pour transformer une compromission locale en incident d’infrastructure.
N-central: quand le serveur RMM devient le parc
L’incident N-able N-central apporte le même avertissement côté infogérance. N-able a indiqué restreindre certaines fonctionnalités et intégrations pendant l’analyse de nouvelles failles divulguées, notamment en désactivant par défaut la Legacy API dans les environnements hébergés et en coupant l’intégration Intune le temps d’ajouter et de valider des protections . L’éditeur a aussi demandé aux clients hébergés et on-premises de mettre à jour Agents et Probes, en soulignant que N-central 2026.4 HF1 modifie leur mode de communication et que les deux composants doivent être mis à jour pour garantir la communication et le patching des équipements gérés .
Le point sensible est que les rapports d’exploitation ne concernent pas seulement des systèmes anciens ou abandonnés. The Hacker News a rapporté que 21 serveurs N-central avaient été infectés, dont 19 exécutaient déjà le dernier Hotfix 2 . ThreatNoir a de son côté indiqué que la chaîne 4EverAble2Shell fonctionnait contre N-central 2026.4 HF2 build 2026.4.1.26, livré le 10 novembre, et que l’exploitation supposait une Legacy API activée et accessible .
Le constat défensif est brutal mais utile: un hotfix ne suffit pas à lui seul à définir un état sûr. Les plateformes RMM exigent certes un patching d’urgence, mais aussi une réduction d’exposition, une coupure temporaire de fonctions, une revue des identifiants et une recherche de compromission. Si un attaquant obtient root sur la console qui administre les endpoints clients, l’incident ne concerne plus un serveur Linux. Il concerne tous les appareils et tous les environnements clients accessibles depuis cette console.
CI et registres: la confiance entre code et production est aspirée
Le même fil conducteur apparaît dans la campagne wfx-loot. Aikido Security indique qu’à partir du 10 novembre, un acteur a utilisé des identifiants GitHub volés pour pousser une charge malveillante de workflow dans des dizaines de milliers de dépôts . Aikido compte 4 837 comptes compromis ayant ouvert des pull requests de sondage dans 61 764 dépôts, et estime qu’au moins 1 835 dépôts ont exécuté la charge et subi une exfiltration d’identifiants .
La cible n’était pas le code applicatif pour lui-même. La charge collectait les secrets et variables GitHub Actions, les tokens de workflow, les tokens OIDC, les identifiants cloud, les clés de fournisseurs IA, les credentials de registres de paquets, le matériel SSH et d’autres fichiers fréquemment accessibles depuis les runners CI . Aikido décrit aussi des mécanismes de persistance capables de survivre à une rotation classique, dont des modifications de politiques de confiance AWS et l’ajout d’identifiants fédérés Azure avec un motif wfx-ci- .
Le pipeline CI devient alors une raffinerie d’identifiants. Un token GitHub volé ouvre un dépôt. Un workflow s’exécute. Le runner expose ses secrets. Ces secrets ouvrent des comptes cloud, des registres de paquets et des chemins de déploiement. Quand les défenseurs remarquent un commit annulé ou un numéro de run manquant, l’attaquant peut déjà détenir les clés de la production.
Red Hat Quay illustre l’étape suivante. Red Hat classe CVE-2026-123710 comme critique avec un score CVSS de 9.8 et décrit une faille permettant à un client non authentifié d’obtenir un token de registre anonyme, de le présenter au point de rotation des clés de service et d’installer sa propre clé de signature approuvée sans expiration . Les tokens signés avec cette clé sont ensuite acceptés pour n’importe quel dépôt, avec lecture et écriture sur des images privées et remplacement possible de tags .
La remédiation Red Hat est explicite: désactiver l’accès anonyme ne suffit pas, car tout compte Quay valide peut encore exploiter la faille, et la réinitialisation des mots de passe ou des robot tokens ne révoque pas une clé de signature non autorisée . Autrement dit, si la CI fabrique les secrets, le registre est l’endroit où les artefacts de production sont réputés fiables. Compromettre l’un ou l’autre met en cause l’intégrité du déploiement.
Clouds GPU: l’isolation dépend aussi de la vitesse de patch
Le dernier cas prolonge l’alarme jusqu’à l’infrastructure IA. Phoronix a rapporté la publication de NvRoot, suivi comme CVE-2026-47591, et de ForgePtr, suivi comme CVE-2026-47501, dans les pilotes Linux NVIDIA . Phoronix décrit NvRoot comme particulièrement risqué pour les environnements GPU loués, car un processus non privilégié dans un conteneur GPU peut transformer le comportement du GPU en impact root sur l’hôte, et indique que NvRoot est corrigé dans les versions 610.57.04, 595.91.07 et 580.178.04 .
Pour les fournisseurs neocloud et les plateformes GPU multi-locataires, ce n’est pas une simple question d’hygiène de pilote. L’isolation GPU est le produit. Si un locataire peut passer d’une tranche d’accélérateur louée à des privilèges hôte, la séparation entre clients, modèles et matériel partagé ne vaut que par la vitesse de mise à jour.
Ce que les administrateurs doivent faire maintenant
La réponse commune consiste à traiter les plans de gestion comme des actifs de niveau zéro. Les passerelles Check Point doivent être vérifiées contre le chemin PHP2Shell et CVE-2026-123039, avec recherche de TSGA, TSProxy, web shells zz*.tpl, artefacts gogo et accès ESXi provenant des passerelles . Les opérateurs N-central ne doivent pas s’arrêter au Hotfix 2; ils doivent désactiver la Legacy API sauf nécessité stricte, mettre à jour Agents et Probes, suivre les restrictions de fonctionnalités et rechercher tout signe de mineur ou de compromission root .
Les organisations GitHub doivent rechercher les branches wfx-docs, les pull requests nommées docs: dependency audit notes, les commits de workflow suspects et les numéros de run manquants depuis le 10 novembre, puis faire tourner tous les secrets et rôles cloud accessibles aux workflows touchés . Les opérateurs Quay doivent restreindre /keys, examiner les journaux d’audit pour les rotations ou suppressions de clés avec expiration nulle, supprimer les clés approuvées inconnues et déployer les versions corrigées plutôt que compter sur une simple rotation d’identifiants . Les fournisseurs GPU doivent inventorier leurs branches de pilotes, passer aux versions NVIDIA corrigées et considérer les hôtes d’accélérateurs partagés comme des frontières de sécurité aussi critiques que les hyperviseurs .
L’alarme d’infrastructure ne vient pas du fait que des attaquants ont trouvé cinq faiblesses sans rapport. Elle vient du fait que chaque faiblesse touchait un multiplicateur: passerelle, serveur RMM, runner CI, registre ou hôte GPU partagé. Voilà pourquoi ce cycle de correctifs ressemble moins à une maintenance ordinaire qu’au boss final des systèmes qui administrent les systèmes.
Commentaires
Sois le premier à commenter.