Una explicación de una vulnerabilidad de Check Point Gaia OS (CVE-2026-123039) que permite a un usuario local del appliance obtener root. Cubre qué ocurre, quién está afectado y cómo responder, desde el lado de la defensa y sin pasos de ataque.
- CVE
- CVE-2026-123039 (escalada de privilegios en el demonio DynamicCLI de Gaia OS)
- Gravedad
- CVSS v3.1 7.8 (alta; vector AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H; asignada por Check Point)
- Tipo
- Falta de autorización (CWE-862), asignación incorrecta de permisos a un recurso crítico (CWE-732); escalada local de privilegios
- Impacto
- Un usuario local autenticado puede ejecutar comandos arbitrarios como root
- Afectado
- Force Firewalls, Management y Log Servers, Multi-Domain Security Management y Log Server, Maestro Orchestrator (R82.20, R82.10, R82, R81.20, R81.10, R81). Spark Firewalls y Smart-1 Cloud no están afectados
- Corrección
- Jumbo Hotfix Accumulator: R82.20 Take 14 / R82.10 Take 52 / R82 Take 132 / R81.20 Take 174 (o posterior). Sin corrección para R81.10 y R81 (EOS)
- Publicado
- Aviso creado el 8 de noviembre de 2026 (última modificación el 12 de noviembre). CVE publicado el 12 de noviembre
- Explotación
- Check Point confirmó la explotación contra un par de docenas de clientes. Añadido a CISA KEV el 13 de noviembre de 2026 (plazo: 16 de noviembre)
Un plazo corto, de tres días
El plazo de KEV es tres días después de añadirse (16 de noviembre). Las organizaciones fuera del ámbito de CISA no están obligadas por él, pero como la explotación está confirmada, la fecha sirve como guía de «como muy tarde».
Qué es la vulnerabilidad
El aviso de Check Point explica que un proceso propiedad de root (dynamic_server) escucha en un socket local con permisos de escritura para todos (permisos 0777), no autentica el proceso que se conecta y ejecuta como root las cadenas de comandos que recibe. Así, quien consiga ejecutar código con pocos privilegios en el appliance puede obtener root.
- La explotación requiere ejecución previa de código en el appliance (AV:L y PR:L en el vector CVSS). Por sí solo, el fallo no puede atacarse directamente desde el exterior.
- Las formas de conseguir esa ejecución de código incluyen otras vulnerabilidades o credenciales robadas. La cadena vista en ataques reales se describe más abajo.
- La forma concreta de llamar al servicio no figura en el aviso, y este sitio no la describe.
Ámbito
| Elemento | Detalle |
|---|---|
| Productos | Force Firewalls, Management y Log Servers, Multi-Domain Security Management y Multi-Domain Log Server, Maestro Orchestrator |
| Versiones (aviso) | R82.20, R82.10, R82, R81.20, R81.10, R81 |
| Corrección | Jumbo Hotfix Accumulator: R82.20 Take 14, R82.10 Take 52, R82 Take 132, R81.20 Take 174 o posterior |
| Sin corrección | R81.10, R81 (ambos EOS; sin take de corrección en el aviso) |
| No afectados | Spark Firewalls, Smart-1 Cloud |
| Solución provisional | Detener dynamic_server (algunos comandos de Dynamic CLI fallan entonces) |
- El registro CVE enumera las versiones afectadas como «R82.10 con Jumbo Hotfix Take 50 o inferior», «R82.20 con Take 10 o inferior», «R82 con Take 130 o inferior» y «R81.20 con Take 173 o inferior». Cómo tratar los números entre eso y el take corregido del aviso (por ejemplo R82.10 Take 51) no puede resolverse con ninguno de los dos registros, así que alinéese con el take corregido o posterior.
- El registro CVE no enumera R81.10 y R81, pero el aviso sí. Si usa versiones sin soporte, no hay corrección, así que planifique una migración.
- Por las mismas fechas, Check Point publicó otras vulnerabilidades de la misma familia de ataque (véase más abajo).
Cómo comprobar si está afectado
Compruebe la versión de Gaia y el take del Jumbo Hotfix
Anote la versión de Gaia de cada dispositivo (R81.20, R82, etc.) y el take del Jumbo Hotfix Accumulator aplicado. Con el take corregido o uno posterior (R82.20: 14, R82.10: 52, R82: 132, R81.20: 174) el fallo está corregido. Incluya en la lista no solo los cortafuegos sino también los Management Servers, los Log Servers y los Maestro Orchestrators (lista de comprobación del inventario de activos).
Confirme la corrección mediante los permisos del socket
Según el aviso, tras la corrección, al listar /tmp/dynamic_socket en modo expert se ve propietario root, grupo config y modo 0660 (srw-rw----). Si aún muestra 0777, la corrección no está en vigor.
Compruebe si dynamic_server se está ejecutando
Para decidir si usar la solución provisional, compruebe en modo expert si el proceso dynamic_server se está ejecutando (el aviso da el comando).
Compruebe qué funciones de acceso remoto están expuestas
Compruebe si Mobile Access, Remote Access VPN o cualquier otra función accesible desde internet está activada. Si está expuesta, puede ser el punto de entrada de la cadena.
Qué hacer hoy
Actualice el Jumbo Hotfix al take corregido o posterior (máxima prioridad)
R82.20: Take 14, R82.10: Take 52, R82: Take 132, R81.20: Take 174 o posterior. Incluye los Management Servers, los Log Servers y los Maestro Orchestrators. El plazo de KEV es el 16 de noviembre. Si hace falta un reinicio o una conmutación por error del clúster, confírmelo en el aviso y en su procedimiento antes de continuar.
Aplique la solución provisional en los dispositivos que no pueda actualizar
El aviso muestra cómo detener dynamic_server e impedir que arranque de nuevo tras un reinicio (un ajuste dbset en modo expert). Mientras está detenido, fallan los comandos de Dynamic CLI enumerados en sk144112, así que compruebe primero si alguna operación (la automatización, por ejemplo) depende de ellos. Tras actualizar, puede volver a activarlo con los pasos del aviso.
Compruebe la exposición y las correcciones de Mobile Access y otras funciones de acceso remoto
La investigación de Check Point informa de que, en los ataques reales, la vía de entrada fue otra vulnerabilidad del portal Mobile Access (PHP2Shell: CVE-2026-109618 y CVE-2026-109619). El blog oficial de Check Point recomienda instalar el Jumbo Hotfix de noviembre y dice que la corrección de PHP2Shell (un hotfix disponible desde el 23 de octubre) está incluida en él. Los takes corregidos para este fallo proceden de sk1000362 (véase la tabla anterior), no del blog. Actualice primero el Mobile Access expuesto a internet y desactive las funciones de cara al exterior que no use. La parte de PHP se trata en dos vulnerabilidades críticas de PHP y las versiones corregidas de emergencia.
Compruebe si hay signos de compromiso
El aviso de Check Point dice que dynamic_server registra los comandos que recibe en /var/log/dynamicCli.log y muestra cómo buscar en ese registro (use las condiciones grep del aviso). Los puntos que hay que mirar: si algún comando recibido carece de la forma Clish habitual (la cadena de prefijo que muestra el aviso) y si hay registros de conexiones rechazadas desde UID no autorizados, que aparecen tras la corrección (un UID inesperado como 99, «nobody», indica un intento de escalada bloqueado; correlacione con los registros del portal, web y de autenticación para hallar el punto de entrada).
Para PHP2Shell, el blog oficial de Check Point enumera rastros como archivos de sesión en el directorio temporal de Mobile Access, procesos y archivos con nombres que imitan componentes de Check Point, herramientas de escaneo o de borrado en /tmp y huecos inexplicados en los registros de tráfico del cortafuegos. Dice que la ausencia de coincidencias no descarta el compromiso y que una coincidencia justifica una investigación inmediata. Para los indicadores detallados, véase el artículo de Check Point Research.
Si sospecha un compromiso, no se quede en el appliance
La investigación de Check Point informa de casos en los que, tras obtener root, los atacantes escanearon activos internos desde el dispositivo, pasaron a un host de virtualización (VMware ESXi) y destruyeron datos. Si encuentra signos en un dispositivo, trabaje de una vez en rotar las credenciales del dispositivo y las claves de cuentas de servicio, revisar los registros de los hosts internos (sobre todo los de virtualización) y confirmar que las copias de seguridad están aisladas (cómo comprobar una intrusión, conceptos básicos de copia de seguridad y recuperación, mínimo privilegio para las claves SSH).
Estado de la explotación
- El aviso de Check Point dice que observó explotación activa contra «un par de docenas» de clientes. Su blog oficial dice que los dispositivos comprometidos no estaban parcheados y se concentraban en una sola región.
- El blog oficial de Check Point dice que se observó explotación del 30 de octubre al 4 de noviembre. Check Point Research informa de que la primera oleada, el 30 de octubre, incluyó actividad destructiva contra algunos objetivos, y de que la segunda oleada, el 2 de noviembre, abarcó varios países y sectores sin que se observara destrucción.
- La cadena: Check Point Research informa de que los atacantes entraron mediante PHP2Shell en el portal Mobile Access y luego usaron este fallo para pasar de la cuenta de servicio del portal a root. Tras obtener root, colocaron web shells, una puerta trasera persistente y un escáner interno, y en algunos casos ejecutaron un wiper en un host de virtualización.
- CISA lo añadió a KEV el 13 de noviembre de 2026 con un plazo del 16 de noviembre (versión de KEV 2026.11.13). El nombre en KEV es «Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability».
- KEV registra el uso en ransomware como Desconocido y el triaje forense como Sí.
- El registro CVE incluye la valoración de CISA (explotación: activa; automatizable: no; impacto técnico: total).
- Este sitio no trata la atribución ni los motivos, y no nombra a las organizaciones afectadas.
Vulnerabilidades relacionadas publicadas al mismo tiempo
El blog oficial de Check Point tabula las correcciones del mismo periodo (no da números de take de Jumbo).
| CVE | Descripción | CVSS | Explotada |
|---|---|---|---|
| CVE-2026-123039 | Escalada local de privilegios en Dynamic CLI de Gaia OS (este artículo) | 7.8 | Sí |
| CVE-2026-109618, CVE-2026-109619 | PHP2Shell: ejecución remota de código sin autenticación a través de interfaces web como Mobile Access | 9.2 | Sí (en CISA KEV) |
| CVE-2026-107484 | Escalada de privilegios por un usuario autenticado en los manejadores del backend de Gaia Portal | 7.3 | No |
| CVE-2026-120490 | Elusión del límite de privilegios de gestión a pasarela mediante reglas NAT | 3.8 | No |
- Para PHP2Shell, el blog da como rango afectado todas las versiones R80 a R82.20 de Security Gateways (portal Mobile Access) y algunos Spark Firewalls.
- La columna de explotación refleja el blog en el momento de su publicación (12 de noviembre).
Fuentes
- Check Point — sk1000362 (CVE-2026-123039) (productos y versiones afectados, takes corregidos, solución provisional, cómo comprobar, declaración de explotación)
- Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation (12 de noviembre de 2026; CVE relacionados, el Jumbo Hotfix de noviembre, qué comprobar)
- Check Point Research — PHP2Shell Exploitation on Check Point Gateway (cronología y cadena)
- CVE.org — CVE-2026-123039 (publicado el 12 de noviembre de 2026; incluye la inclusión por CISA)
- NVD — CVE-2026-123039
- CISA KEV — Known Exploited Vulnerabilities Catalog (añadido el 13 de noviembre; plazo el 16 de noviembre)
- BleepingComputer — Check Point warns of zero-day flaw exploited for root access (informe de prensa, contrastado con las fuentes primarias anteriores)
Aparte de los nombres de ajustes y las ubicaciones de registros que da el aviso, no se incluyen pasos de ataque. Última verificación: 14 de noviembre de 2026.
Lee a continuación
- Proteger los dispositivos expuestos a internet: Cómo defender los dispositivos VPN y el acceso remoto
- Las vulnerabilidades de entrada: Dos vulnerabilidades críticas de PHP y las versiones corregidas de emergencia (octubre de 2026)
- Práctica: La guía de corrección de vulnerabilidades / Lista de comprobación del inventario de activos
- Decidir: Priorizar con CVSS, EPSS y KEV
- Comprobar intrusiones: Cómo comprobar si un sitio o servidor fue comprometido
- Términos: ¿Qué es un IOC? / ¿Qué es una puerta trasera?