Faille WatchGuard AuthPoint Gateway CVE-2026-121639 : trois avis critiques, version 7.6.0 à installer

La réponse courte : le 4 novembre 2026, WatchGuard a publié quatre avis de sécurité sur la AuthPoint Authentication Gateway, dont trois critiques. Toutes les versions de 1.0 à celles antérieures à 7.6.0 sont touchées, et la version corrigée est la 7.6.0. WatchGuard n’a connaissance d’aucune exploitation. Le point qui mérite votre attention : cette Gateway ne se met pas à jour toute seule, donc rien ne sera corrigé sans une action de votre part.

La Gateway est un petit logiciel installé sur votre réseau. Elle fait le lien entre le service de MFA AuthPoint et vos équipements RADIUS, ADFS, Active Directory ou LDAP. Autrement dit, elle se trouve exactement là où se décident les accès au VPN et aux applications. Pour son rôle et ses cas d’usage, voir notre guide WatchGuard AuthPoint.

Ce qui est touché

Le tableau ci-dessous reprend les scores CVSS v4.0 publiés par WatchGuard.

CVE	Gravité (CVSS v4.0)	Nature de la faille	Configuration concernée
CVE-2026-121639	Critique, 9.2	Attaquant sans authentification, avec un accès réseau au serveur : perturbe l’authentification et supprime la configuration locale de synchronisation d’annuaire	Fournisseur LDAP ou Active Directory
CVE-2026-121638	Critique, 9.1	Mauvaise validation des certificats : un attaquant placé sur le chemin réseau peut intercepter et modifier les échanges avec les fournisseurs d’authentification locaux	Ressource RADIUS, LDAP ou ADFS
CVE-2026-121640	Critique, 9.1	Rejeu : un attaquant qui a observé une requête légitime entre composants de la Gateway la rejoue pour effectuer des actions d’administration	Aucune condition indiquée
CVE-2026-121637	Élevée, 8.9	Mauvais contrôle d’intégrité du retour d’authentification LDAP : un attaquant disposant d’une signature d’en-tête valide falsifie le résultat	Fournisseur LDAP

Produit	Versions touchées	Version corrigée
AuthPoint Authentication Gateway	1.0 et suivantes, antérieures à 7.6.0	7.6.0

Source : avis du PSIRT WatchGuard du 4 novembre 2026 et bulletin maCERT 70630511/26. Les notes de version datent la sortie de la Gateway 7.6.0 du 29 octobre 2026 : une Gateway mise à jour depuis cette date est déjà sur la bonne version.

Gravité et exploitation

• Gravité publiée : trois avis sont notés critiques et un élevé par WatchGuard. La NVD a reçu les quatre CVE le 4 novembre, sans analyse propre à ce stade. Le maCERT de la DGSSI retient un niveau de risque et d’impact critique, avec comme risques le contournement des mécanismes de sécurité, l’accès à des informations confidentielles et le déni de service.
• Exploitation : WatchGuard déclare ne pas avoir connaissance d’une exploitation pour chacun des avis. Ces CVE ne figurent pas au catalogue KEV de la CISA, dans sa version du 4 novembre 2026.
• Conditions : CVE-2026-121639 demande seulement un accès réseau au serveur. Les trois autres supposent une position d’écoute sur le réseau, l’observation d’une requête ou une signature déjà obtenue. Un poste interne compromis suffit parfois à réunir ces conditions : ne les lisez pas comme une garantie.
• Conséquence pratique : si la Gateway tombe ou perd sa synchronisation, la MFA qui en dépend peut bloquer vos utilisateurs. Le risque touche donc aussi la disponibilité des accès, pas seulement leur sécurité.

Mettre à jour la Gateway

La procédure de WatchGuard tient en quelques étapes :

1. Dans l’interface de gestion AuthPoint, ouvrez Downloads.
2. Dans la section Gateway Installer, téléchargez l’installateur correspondant à votre système.
3. Exécutez-le sur le serveur. Il n’est pas nécessaire de désinstaller la version en place, ni de saisir une clé d’enregistrement.
4. Sur la page Gateway, vérifiez que le voyant est vert et que la version affichée est bien 7.6.0.
5. Testez la connexion à vos annuaires externes, puis faites une authentification réelle (VPN ou application).

Trois points à contrôler avant de lancer l’installation :

• Les très anciennes versions : en dessous de 3.1.3-83, il faut désinstaller la Gateway, la désenregistrer, générer une nouvelle clé d’enregistrement puis réinstaller.
• Java : la Gateway demande Amazon Corretto 17 ou 21, configuré pour le système et non pour un seul utilisateur. Un serveur ancien peut devoir passer par cette étape d’abord.
• ADFS : l’agent AuthPoint pour ADFS 1.2.4 requiert la Gateway 7.6.0 ou ultérieure. Passez donc la Gateway en premier.

Les mesures d’attente, si la mise à jour doit attendre

Les avis de WatchGuard ne proposent aucun contournement. Les mesures suivantes sont nos recommandations : elles réduisent l’exposition, sans remplacer la mise à jour.

1. Restreindre l’accès réseau au serveur : seuls les équipements RADIUS, l’agent ADFS et les annuaires qui en ont besoin doivent pouvoir le joindre. Une segmentation par VLAN facilite ce filtrage.
2. Ne jamais exposer la Gateway sur internet, même temporairement.
3. Surveiller : passage de la Gateway hors ligne, perte de synchronisation d’annuaire, connexions refusées en série.
4. Sauvegarder le serveur et noter la configuration de synchronisation, pour pouvoir la rétablir vite si elle était supprimée.

Les vérifications à faire

• Inventorier les Gateways : la page Gateway d’AuthPoint affiche pour chacune la version, l’adresse IP et l’état. Les Gateways secondaires, installées pour la reprise sur incident, font partie du périmètre.
• Identifier les usages : LDAP, Active Directory, RADIUS, ADFS. Une Gateway synchronisée avec un annuaire passe en tête de liste.
• Relire la configuration de synchronisation : un groupe disparu ou une synchronisation vide doit être expliqué.
• Contrôler les journaux : arrêts de service inattendus et authentifications acceptées qui ne correspondent à aucune demande d’utilisateur.
• Vérifier les Firebox : le lot Fireware d’octobre corrigeait aussi une faille de session MFA AuthPoint (CVE-2026-82332). Voir notre alerte sur les correctifs Fireware OS.

Notre lecture pour les entreprises au Maroc

La MFA est souvent considérée comme réglée une fois déployée, et la Gateway reste sur un serveur que personne ne regarde. Ces avis rappellent qu’un composant de sécurité se maintient comme le reste. Inscrivez-le dans votre cycle de mises à jour, avec un contrôle régulier de la version affichée.

Cette alerte ne remet pas en cause l’intérêt de la MFA, qui reste indispensable sur les accès distants et le RDP. Elle s’inscrit dans une démarche plus large, avec le déploiement de la MFA en entreprise et le durcissement d’Active Directory, puisque l’annuaire est justement ce que la Gateway interroge.

Comment nous pouvons vous aider

Partenaire WatchGuard au Maroc, nous inventorions vos Gateways, préparons le prérequis Java, installons la version 7.6.0 sur les serveurs principaux et secondaires, testons vos authentifications et filtrons les accès réseau. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : PSIRT WatchGuard, CVE-2026-121639, CVE-2026-121638, CVE-2026-121640, CVE-2026-121637, notes de version AuthPoint, notes de mise à niveau AuthPoint, mettre à jour une Gateway, à propos des Gateways, NVD CVE-2026-121639, catalogue CISA KEV, bulletin maCERT 70630511/26 (DGSSI).