Je m’indigne que des passerelles Check Point non corrigées ouvrent la voie à l’effacement de serveurs ESXi

Je m’indigne qu’il faille une campagne destructrice pour mesurer ce que coûte une passerelle de sécurité laissée sans mise à jour. Selon les travaux de Check Point Research, l’attaque part du portail Mobile Access des passerelles, touché par la faille PHP2Shell. Les intrus élèvent ensuite leurs droits jusqu’au niveau root grâce à CVE-2026-123039, une faille jusque-là non publiée.

Check Point évoque environ deux douzaines d’installations compromises, toutes situées dans une seule région. BleepingComputer, citant l’éditeur, décrit pourtant une première vague visant des organisations israéliennes, suivie le 2 novembre d’une seconde touchant des entreprises de plusieurs pays et secteurs. GBHackers, de son côté, parle de plusieurs dizaines de clients concernés. Ces récits ne concordent pas, et cette zone d’ombre complique toute évaluation des risques pour les autres organisations.

Je m’indigne que l’intrusion ait ensuite franchi la frontière entre le pare-feu et l’hyperviseur. Après avoir cartographié le réseau avec l’outil open source gogo, les assaillants ont rejoint un hôte ESXi en SSH, grâce au compte de service vpxuser, celui que vCenter emploie pour administrer ces serveurs. Le programme destroy_v6 a alors parcouru les dossiers visés, tenté d’écraser chaque fichier par des zéros, puis supprimé les éléments quelle que soit leur extension.

Une note baptisée DREAM_ANNEXATION.txt accompagnait ces destructions et mentionnait la société Dream Security. The Hacker News décrit un acteur de la menace inconnu, et aucune source consultée n’identifie publiquement les auteurs. Cette absence d’attribution ne doit pas servir d’écran : elle ne dispense ni les éditeurs ni les administrateurs de leurs obligations.

Je m’indigne qu’un correctif ait existé avant que la campagne ne frappe. Selon les analyses publiées, les intrusions ont débuté environ une semaine après la mise à disposition de la correction, et la CISA avait déjà inscrit les failles à son catalogue des vulnérabilités exploitées le 26 octobre. Une mise à jour publiée ne protège rien tant qu’elle n’est pas appliquée sur chaque équipement exposé.

Le constat est simple : une faille située sur une passerelle de sécurité devient un chemin vers les machines virtuelles d’une organisation. Les hôtes ESXi auraient dû être cloisonnés des interfaces accessibles depuis l’extérieur. Quand un compte d’administration devient accessible à partir du périmètre, la protection du périmètre n’est plus qu’une façade.

Nous réclamons trois actions vérifiables. D’abord, un calendrier public de déploiement des correctifs pour les passerelles Check Point exposées, assorti d’un décompte des installations encore vulnérables. Ensuite, la diffusion rapide des indicateurs de compromission aux organisations concernées, que Check Point a déjà publiés. Enfin, un audit des comptes de service SSH présents sur les hôtes ESXi reliés à ces passerelles, avec la suppression des accès inutiles.