事故・脆弱性17分で読める

CVE-2026-123039 — Check Point Gaia OSのローカル権限昇格（root奪取・悪用確認済み）の解説と対応策（KEV掲載・期限11月16日）

CVE-2026-123039は、Check Point GaiaのDynamicCLIデーモンを通じてローカルユーザーがrootを得られる脆弱性（CVSS 7.8）。悪用確認済みで、KEVに11月13日追加。修正はJumbo Hotfix。

本文を読む

高CVSS7.8#CVE-2026-123039 #Check Point #Gaia #権限昇格 #ファイアウォール #KEV #PHP2Shell #Mobile Access

公開日: 2026-11-14
更新日: 2026-11-14
最終確認: 2026-11-14

Check PointのGaia OSで、装置上のローカルユーザーがrootを得られる脆弱性（CVE-2026-123039）の解説です。何が起きるのか・影響範囲・対応策を、攻撃の再現手順は伏せて防御目線でまとめます。

速報サマリー — ADVISORY / KEV

CVE: CVE-2026-123039（Gaia OS DynamicCLI daemon の権限昇格）
重大度: CVSS v3.1 7.8（High。ベクターは AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H。Check Pointが付与）
種別: 認可の欠如（CWE-862）・重要リソースへの不適切な権限設定（CWE-732）。ローカル権限昇格
影響: 認証済みのローカルユーザーが、rootで任意のコマンドを実行できる
対象: Force Firewalls、管理・ログサーバー、Multi-Domain Security Management・Log Server、Maestro Orchestrator（R82.20・R82.10・R82・R81.20・R81.10・R81）。Spark FirewallsとSmart-1 Cloudは対象外
修正: Jumbo Hotfix Accumulator：R82.20 Take 14／R82.10 Take 52／R82 Take 132／R81.20 Take 174（以降）。R81.10・R81は修正なし（EOS）
公開日: 勧告 2026年11月8日作成（最終更新11月12日）。CVE公開 11月12日
悪用状況: Check Pointが約2ダース（a couple of dozen）の顧客での悪用を確認。CISA KEVに2026年11月13日追加（対応期限 11月16日）

7.8

CVSS v3.1（Check Point）

約2ダース

Check Pointが確認した悪用先

root

得られる権限

11月16日

KEVの対応期限

結論

Jumbo Hotfixを当てる。当てられない間はdynamic_serverを止め、ログで侵害を確かめる

この脆弱性は「ローカル」の権限昇格ですが、実際の攻撃では、ポータルへの侵入に続けてrootを得る最後の一手に使われました。境界のファイアウォールがrootを奪われると、通信を守る装置が攻撃者の足場になります。ローカルだから後回し、と判断しないでください。

Gaiaの版とJumbo Hotfixの番号を確かめ、修正のTake以降へ更新する。
更新できない間は、勧告の回避策でdynamic_serverを止める（止めるとDynamic CLIの一部コマンドが使えなくなる）。
Mobile Accessなどリモートアクセス機能を外部に出しているなら、その修正の適用も同時に確かめる（別のCVE。後述）。
/var/log/dynamicCli.log などで、侵害の兆候がないかを確かめる。

期限が3日と短い

KEVの対応期限は追加の3日後（11月16日）です。国内の組織はCISAの義務の対象ではありませんが、悪用が確認されている以上、期限は「遅くともこの日」の目安として使えます。

どんな脆弱性か

Check Pointの勧告は、rootで動くプロセス（dynamic_server）が、誰でも書き込める（パーミッション0777）ローカルソケットで待ち受け、接続してきたプロセスを認証せず、受け取ったコマンドの文字列をrootで実行する、と説明しています。そのため、装置上で低い権限のコード実行を得た者が、rootを得られます。

悪用には、先に装置上で何らかのコード実行が要ります（CVSSの AV:L・PR:L）。この脆弱性だけでは、外部から直接は攻撃できません。
装置上のコード実行を得る手段は、別の脆弱性や、盗まれた認証情報などです。実際の攻撃での連鎖は、後述します。
具体的な呼び出し方は、勧告にも書かれておらず、当サイトも記載しません。

影響範囲

項目	内容
製品	Force Firewalls、管理サーバー・ログサーバー、Multi-Domain Security Management・Multi-Domain Log Server、Maestro Orchestrator
版（勧告）	R82.20、R82.10、R82、R81.20、R81.10、R81
修正	Jumbo Hotfix Accumulator：R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174以降
修正なし	R81.10、R81（どちらもEOS。勧告に修正のTakeの記載なし）
対象外	Spark Firewalls、Smart-1 Cloud
回避策	dynamic_serverの停止（Dynamic CLIの一部コマンドが失敗する）

CVEの記録は、対象を「R82.10は Jumbo Hotfix Take 50以下」「R82.20は Take 10以下」「R82は Take 130以下」「R81.20は Take 173以下」と書いています。勧告の修正（R82.10なら Take 52以降）との間にある番号（R82.10のTake 51など）の扱いは、記載から断定できないので、修正のTake以降にそろえてください。
CVEの記録に載る版はR81.10・R81を含みませんが、勧告は対象としています。サポート終了の版を使っている場合は、修正がないので、移行を計画してください。
同じ時期に、Check Pointは同じ系統の別の脆弱性も公表しています（後述）。

装置のGaiaの版（R81.20、R82など）と、適用済みのJumbo Hotfix Accumulatorの番号（Take）を確かめます。修正のTake（R82.20は14、R82.10は52、R82は132、R81.20は174）以降なら、この脆弱性は修正済みです。ファイアウォールだけでなく、管理サーバー・ログサーバー・Maestro Orchestratorも一覧にします（資産棚卸しチェックリスト）。

修正済みかを、ソケットの権限でも確かめる

勧告によると、修正後は、expertモードで /tmp/dynamic_socket の権限を表示すると、所有者root・グループconfig・パーミッション0660（srw-rw----）になります。0777のままなら、修正されていません。

dynamic_serverが動いているかを確認する

回避策を取るかの判断のため、expertモードで、dynamic_serverのプロセスが動いているかを確かめます（確認のコマンドは勧告に記載があります）。

リモートアクセス機能の公開状況を確認する

Mobile Access、Remote Access VPNなど、インターネットから入れる機能が有効かを確かめます。外に出ているなら、そこが連鎖の入口になり得ます。

今日やること

Jumbo Hotfixを修正のTake以降へ更新する（最優先）

R82.20はTake 14、R82.10はTake 52、R82はTake 132、R81.20はTake 174以降にします。管理サーバー・ログサーバー・Maestro Orchestratorも対象です。KEVの対応期限は11月16日です。再起動や冗長構成の切り替えが要る場合は、勧告と手順書で確かめてから進めてください。

更新できない装置は、回避策を入れる

勧告は、dynamic_serverを止めて、再起動しても起動しないようにする方法を示しています（expertモードでのdbsetの設定）。止めると、勧告sk144112に挙がるDynamic CLIのコマンドが失敗するので、それを使う運用（自動化など）がないかを先に確かめます。更新後は、勧告にある手順で元に戻せます。

Mobile Accessなどリモートアクセス機能の公開と修正を確認する

Check Pointの調査は、実際の攻撃で、Mobile Accessポータルの別の脆弱性（PHP2Shell。CVE-2026-109618・CVE-2026-109619）が入口になったと報告しています。Check Pointの公式ブログは、11月のJumbo Hotfixの適用を勧め、PHP2Shellの修正（10月23日から提供されていたホットフィックスの内容）がそれに含まれるとしています。この脆弱性の修正Takeは、ブログではなくsk1000362の記載（上記の表）によります。外部に出しているMobile Accessを優先して更新し、使っていない外部向けの機能は止めてください。PHP側の脆弱性は、PHPの重大な脆弱性2件と緊急の修正版にまとめています。

侵害の兆候を確認する

Check Pointの勧告は、dynamic_serverが受け取ったコマンドを /var/log/dynamicCli.log に記録するとして、このログを調べる方法を示しています（grepの条件は勧告の記載を使ってください）。見る観点は次のとおりです。通常のClishの形（勧告が示す前置きの文字列）を持たないコマンドが、受信として記録されていないか。修正後に出る「権限のないUIDからの接続を拒否した」という記録がないか（不明なUID、たとえば99の「nobody」が出ていれば、昇格の試みが止められた印で、ポータル・Web・認証のログと突き合わせて入口を探します）。

Check Pointの公式ブログは、PHP2Shellの痕跡として、Mobile Accessの一時ディレクトリのセッションファイル、Check Pointの部品に似せた名前のプロセスやファイル、/tmpにあるスキャン用・破壊用のツール、ファイアウォールの通信ログの不自然な欠落などを挙げています。一致がなくても侵害がないとは言い切れず、一致があれば直ちに調査するよう求めています。詳しい指標は、Check Point Researchの記事で確かめてください。

侵害が疑われるなら、装置だけで終わらせない

Check Pointの調査は、rootを得たあとに、装置から内部の資産を調べ、仮想化基盤（VMware ESXi）へ移動してデータを破壊した例があったと報告しています。装置で兆候が見つかったら、装置の認証情報・サービスアカウントの鍵の入れ替え、内部のホスト（とくに仮想化基盤）のログの確認、バックアップの隔離の確認までを一度に進めてください（侵入の確かめ方、バックアップと復旧の基本、SSH鍵の最小権限）。

悪用状況

Check Pointの勧告は、「a couple of dozen（約2ダース）の顧客に対する実際の悪用を確認した」としています。同社の公式ブログは、侵害された装置は修正未適用で、1つの地域に集中していたと説明します。
Check Pointの公式ブログは、悪用の確認は10月30日から11月4日までとしています。Check Point Researchは、10月30日の第1波で一部に破壊的な動きがあり、11月2日の第2波は複数の国・業種に及んだが、破壊は確認されなかった、と報告しています。
連鎖：Mobile AccessポータルでPHP2Shellにより侵入し、この脆弱性でポータルのサービスアカウントからrootになった、とCheck Point Researchは報告しています。root取得後は、Webシェル、常駐するバックドア、内部探索用のスキャナーが置かれ、仮想化基盤でワイパー（データ破壊）が実行された例があります。
CISAは2026年11月13日にKEVへ追加し、対応期限を11月16日としました（KEVの版 2026.11.13）。KEVの名称は「Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability」です。
KEVの記録上、ランサムウェアでの利用は「Unknown（不明）」で、フォレンジックの確認は「Yes」です。
CVEの記録に、CISAの評価（悪用は活発・自動化は不可・技術的な影響は全面的）が追記されています。
攻撃者の特定や目的は、当サイトでは扱いません。被害を受けた組織の名前も載せません。

同じ時期に公表された関連の脆弱性

Check Pointの公式ブログは、この脆弱性と同じ時期の修正を表にまとめています（Jumbo Takeの番号は載っていません）。

CVE	内容	CVSS	悪用
CVE-2026-123039	Gaia OSのDynamic CLIのローカル権限昇格（この記事）	7.8	あり
CVE-2026-109618・CVE-2026-109619	PHP2Shell：Mobile Accessなどのウェブ画面経由の、認証なしのリモートコード実行	9.2	あり（CISA KEV掲載済み）
CVE-2026-107484	Gaia Portal裏側の処理での、認証済みユーザーによる権限昇格	7.3	確認なし
CVE-2026-120490	NATルール経由の、管理からゲートウェイへの権限境界の回避	3.8	確認なし

PHP2Shellの影響範囲は、同ブログでは、Security Gateway（Mobile Accessポータル）のR80からR82.20までの全版と、Spark Firewallsの一部です。
表の悪用の列は、同ブログの公開時点（11月12日）の記載です。

出典

Check Point — sk1000362（CVE-2026-123039）（対象製品・版、修正のTake、回避策、確認方法、悪用の記載）
Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation（2026年11月12日。関連のCVE、11月のJumbo Hotfix、確認項目）
Check Point Research — PHP2Shell Exploitation on Check Point Gateway（攻撃の経過と連鎖）
CVE.org — CVE-2026-123039（2026年11月12日公開。CISAの追記を含む）
NVD — CVE-2026-123039
CISA KEV — Known Exploited Vulnerabilities Catalog（11月13日追加・期限11月16日）
BleepingComputer — Check Point warns of zero-day flaw exploited for root access（報道。上記の一次情報と照合）

勧告にある設定名・ログの場所を除き、攻撃の手順は載せていません。最終確認：2026年11月14日。

次に読む

よくある質問

QCVE-2026-123039とは何ですか？

Check PointのGaia OSにあるローカル権限昇格の脆弱性です。Check Pointの勧告（sk1000362）によると、rootで動くdynamic_serverが、誰でも書き込める（0777）ローカルソケットで待ち受け、接続してきたプロセスを認証せず、受け取った文字列をrootで実行します。装置上でコードを実行できる認証済みのローカルユーザーが、rootを得られます。CVSS v3.1は7.8（High）です。

Qどの製品・版が対象で、修正はどれですか？

勧告の対象は、Check Pointのファイアウォール（Force Firewalls）、管理サーバーとログサーバー、Multi-Domain Security ManagementとMulti-Domain Log Server、Maestro Orchestratorで、版はR82.20・R82.10・R82・R81.20・R81.10・R81です。修正はJumbo Hotfix Accumulatorで、R82.20はTake 14、R82.10はTake 52、R82はTake 132、R81.20はTake 174以降です。R81.10とR81には修正のTakeが示されておらず、どちらもサポート終了（EOS）とされています。Spark FirewallsとSmart-1 Cloudは対象外です。

Q遠隔から攻撃されますか？

この脆弱性そのものはローカルの権限昇格で、先に装置上で何らかのコード実行を得ている必要があります（CVSSもAV:L）。ただしCheck Pointの調査は、実際の攻撃で、Mobile Accessポータルの別の脆弱性（PHP2Shell）で装置内に入ったあと、この脆弱性でrootになる連鎖があったと報告しています。外から入れる経路が別にあれば、遠隔の侵入からrootまで進み得ます。

Qすぐ修正を当てられない場合の回避策はありますか？

あります。勧告は、dynamic_serverプロセスを止めて再起動しないようにする方法を示しています（expertモードでdbsetコマンドを使う。手順は勧告を参照）。ただし止めている間は、勧告sk144112に挙がるDynamic CLIのコマンドが失敗します。元に戻す手順も勧告にあります。

Qすでに悪用されていますか？

はい。Check Pointは、約2ダース（a couple of dozen）の顧客に対する実際の悪用を確認したとしています。CISAは2026年11月13日にKEVへ追加し、対応期限は11月16日です。KEVの記録上、ランサムウェアでの利用は「Unknown（不明）」で、フォレンジックの確認（Forensic Triage）は「Yes」です。

Q侵害されていないか、どう確かめますか？

Check Pointの勧告は、dynamic_serverが受け取ったコマンドを記録する /var/log/dynamicCli.log を調べる方法を示しています。ログに、通常のClishの形でないコマンドや、不明なUIDからの拒否の記録がないかを見ます。ログに何も出なくても侵害がないとは言い切れないので、後述の確認項目とあわせて見てください。