위협 피드

높음CVSS7.8#CVE-2026-123039 #Check Point #Gaia #권한 상승 #방화벽 #KEV #PHP2Shell #Mobile Access

CVE-2026-123039 — Check Point Gaia OS 로컬 권한 상승으로 root 획득, 실제 악용 중: 해설과 대책(KEV 등재, 기한 11월 16일)

CVE-2026-123039: 로컬 사용자가 root가 될 수 있는 Check Point Gaia DynamicCLI 결함(CVSS 7.8). 악용 확인, 11월 13일 KEV 등재. Jumbo Hotfix로 수정.

게시 2026-11-14 업데이트 2026-11-14 최종 확인 2026-11-14 9분 읽기

이 페이지에서

로컬 사용자가 root가 될 수 있는 Check Point Gaia OS 취약점(CVE-2026-123039)의 해설입니다. 무슨 일이 일어나는지, 누가 영향을 받는지, 어떻게 대응해야 하는지를 방어하는 쪽의 관점에서, 공격 절차 없이 설명합니다.

권고 요약 — 권고 / KEV

CVE: CVE-2026-123039 (Gaia OS DynamicCLI 데몬의 권한 상승)
심각도: CVSS v3.1 7.8 (높음. 벡터 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. Check Point가 부여)
유형: 인가 누락(CWE-862), 중요 리소스에 대한 잘못된 권한 부여(CWE-732). 로컬 권한 상승
영향: 인증된 로컬 사용자가 임의의 명령을 root로 실행할 수 있음
영향 대상: Force Firewalls, Management and Log Servers, Multi-Domain Security Management and Log Server, Maestro Orchestrator(R82.20, R82.10, R82, R81.20, R81.10, R81). Spark Firewalls와 Smart-1 Cloud는 영향 없음
수정: Jumbo Hotfix Accumulator: R82.20 Take 14 / R82.10 Take 52 / R82 Take 132 / R81.20 Take 174(이상). R81.10과 R81(EOS)은 수정 없음
공개: 권고 작성 2026년 11월 8일(마지막 수정 11월 12일). CVE 공개 11월 12일
악용: Check Point가 수십 곳 고객에 대한 악용을 확인. 2026년 11월 13일 CISA KEV에 추가(기한 11월 16일)

7.8

CVSS v3.1 (Check Point)

수십 곳

Check Point가 악용을 확인

root

획득되는 권한

11월 16일

KEV 기한

Jumbo Hotfix를 설치하세요. 설치할 수 있을 때까지는 dynamic_server를 중지하고 로그에서 침해 여부를 확인하세요

「로컬」 권한 상승이지만, 실제 공격에서는 포털에 침입한 뒤 발판을 root로 바꾸는 마지막 단계였습니다. 경계 방화벽이 root를 빼앗기면 트래픽을 지키기 위한 장비가 공격자의 거점이 됩니다. 로컬이라는 이유로 미루지 마세요.

Gaia 버전과 Jumbo Hotfix Take를 확인하고 수정된 Take 이상으로 업데이트하세요.
아직 업데이트할 수 없는 곳은 권고의 회피책으로 dynamic_server를 중지하세요(꺼져 있는 동안 일부 Dynamic CLI 명령이 작동하지 않음).
Mobile Access나 다른 원격 접속 기능을 노출하고 있다면 그 수정도 적용되었는지 확인하세요(별도 CVE, 아래 참조).
/var/log/dynamicCli.log와 아래 다른 항목에서 침해 징후를 확인하세요.

짧은 3일 기한

KEV 기한은 추가 후 3일째인 11월 16일입니다. CISA 적용 범위 밖의 조직은 구속되지 않지만, 악용이 확인되었으므로 이 날짜를 「늦어도 이때까지」의 기준으로 삼으세요.

어떤 취약점인가

Check Point 권고는 root 소유 프로세스(dynamic_server)가 누구나 쓸 수 있는(권한 0777) 로컬 소켓에서 대기하며, 접속하는 프로세스를 인증하지 않고, 받은 명령 문자열을 root로 실행한다고 설명합니다. 그래서 어플라이언스에서 낮은 권한의 코드 실행을 얻은 사람은 누구든 root를 얻을 수 있습니다.

악용에는 어플라이언스에서의 사전 코드 실행이 필요합니다(CVSS 벡터의 AV:L과 PR:L). 이 결함만으로는 외부에서 직접 공격할 수 없습니다.
그 코드 실행을 얻는 방법으로는 다른 취약점이나 탈취된 자격 증명이 있습니다. 실제 공격에서 확인된 체인은 아래에 설명합니다.
서비스를 호출하는 구체적인 방법은 권고에 없으며 본 사이트도 설명하지 않습니다.

영향 범위

항목	내용
제품	Force Firewalls, Management and Log Servers, Multi-Domain Security Management와 Multi-Domain Log Server, Maestro Orchestrator
버전(권고)	R82.20, R82.10, R82, R81.20, R81.10, R81
수정	Jumbo Hotfix Accumulator: R82.20 Take 14, R82.10 Take 52, R82 Take 132, R81.20 Take 174 이상
수정 없음	R81.10, R81(둘 다 EOS, 권고에 수정 Take 없음)
영향 없음	Spark Firewalls, Smart-1 Cloud
회피책	dynamic_server 중지(일부 Dynamic CLI 명령이 실패)

CVE 레코드는 영향받는 버전을 「Jumbo Hotfix Take 50 이하의 R82.10」「Take 10 이하의 R82.20」「Take 130 이하의 R82」「Take 173 이하의 R81.20」으로 기재합니다. 이것과 권고의 수정 Take 사이의 번호(예: R82.10 Take 51)를 어떻게 다룰지는 두 기록 어느 쪽으로도 결정할 수 없으므로, 수정된 Take 이상에 맞추세요.
CVE 레코드에는 R81.10과 R81이 없지만 권고에는 있습니다. 지원 종료 버전을 운영한다면 수정이 없으므로 이전을 계획하세요.
같은 시기에 Check Point는 같은 공격군의 다른 취약점도 공개했습니다(아래 참조).

각 장비의 Gaia 버전(R81.20, R82 등)과 적용된 Jumbo Hotfix Accumulator Take를 기록하세요. 수정된 Take 이상(R82.20: 14, R82.10: 52, R82: 132, R81.20: 174)이면 수정된 것입니다. 방화벽뿐 아니라 Management Server, Log Server, Maestro Orchestrator도 목록에 넣으세요(자산 목록 체크리스트).

소켓의 권한으로 수정 여부 확인

권고에 따르면 수정 후 expert 모드에서 /tmp/dynamic_socket을 나열하면 소유자 root, 그룹 config, 모드 0660(srw-rw----)으로 표시됩니다. 아직 0777이면 수정이 적용되지 않은 것입니다.

dynamic_server가 실행 중인지 확인

회피책을 쓸지 판단하려면 expert 모드에서 dynamic_server 프로세스가 실행 중인지 확인하세요(명령은 권고에 있음).

노출된 원격 접속 기능 확인

Mobile Access, Remote Access VPN 등 인터넷에서 닿는 기능이 켜져 있는지 확인하세요. 노출되어 있다면 체인의 진입점이 될 수 있습니다.

오늘 해야 할 일

Jumbo Hotfix를 수정된 Take 이상으로 업데이트(최우선)

R82.20: Take 14, R82.10: Take 52, R82: Take 132, R81.20: Take 174 이상. Management Server, Log Server, Maestro Orchestrator도 포함합니다. KEV 기한은 11월 16일입니다. 재부팅이나 클러스터 페일오버가 필요하면 진행하기 전에 권고와 운영 절차서에서 확인하세요.

업데이트할 수 없는 장비에는 회피책을 적용

권고는 dynamic_server를 중지하고 재시작 후에도 다시 시작되지 않게 하는 방법(expert 모드의 dbset 설정)을 보여 줍니다. 중지된 동안 sk144112에 나온 Dynamic CLI 명령이 실패하므로, 이에 의존하는 작업(예: 자동화)이 있는지 먼저 확인하세요. 업데이트한 뒤에는 권고의 절차로 다시 활성화할 수 있습니다.

Mobile Access와 다른 원격 접속 기능의 노출과 수정 확인

Check Point의 조사는 실제 공격에서 진입로가 다른 Mobile Access 포털 취약점(PHP2Shell: CVE-2026-109618과 CVE-2026-109619)이었다고 보고합니다. Check Point 공식 블로그는 11월 Jumbo Hotfix를 설치하도록 권장하며, PHP2Shell 수정(10월 23일부터 제공된 핫픽스)이 거기에 포함된다고 밝힙니다. 이 결함의 수정 Take는 블로그가 아니라 sk1000362에서 가져온 것입니다(위 표 참조). 인터넷에 노출된 Mobile Access를 먼저 업데이트하고, 쓰지 않는 외부 대면 기능은 끄세요. PHP 쪽은 PHP의 치명적 취약점 2건과 긴급 수정 버전에서 다룹니다.

침해 징후 확인

Check Point의 권고에 따르면 dynamic_server는 받은 명령을 /var/log/dynamicCli.log에 기록하며, 권고는 이 로그를 검색하는 방법(권고의 grep 조건 사용)을 보여 줍니다. 볼 점: 받은 명령 가운데 일반적인 Clish 형식(권고가 보여 주는 접두 문자열)이 아닌 것이 있는지, 그리고 허가되지 않은 UID에서 온 연결이 거부된 기록이 있는지(수정 후에 나타나며, 99 「nobody」 같은 예상치 못한 UID는 차단된 권한 상승 시도를 나타냄, 포털, 웹, 인증 로그와 대조해 진입점을 찾음).

PHP2Shell에 대해 Check Point 공식 블로그는 Mobile Access 임시 디렉터리의 세션 파일, Check Point 구성 요소처럼 보이게 이름 붙인 프로세스와 파일, /tmp 아래의 스캔 또는 삭제 도구, 방화벽 트래픽 로그의 설명되지 않는 공백 같은 흔적을 열거합니다. 일치하는 것이 없다고 침해가 아니라고 단정할 수 없으며, 일치하면 즉시 조사해야 한다고 밝힙니다. 자세한 지표는 Check Point Research 글을 참조하세요.

침해가 의심되면 어플라이언스에서 멈추지 마세요

Check Point의 조사는 공격자가 root를 얻은 뒤 장비에서 내부 자산을 스캔하고, 가상화 호스트(VMware ESXi)로 옮겨 가 데이터를 파괴한 사례를 보고합니다. 장비에서 징후를 발견하면 장비의 자격 증명과 서비스 계정 키 교체, 내부 호스트(특히 가상화 호스트)의 로그 확인, 백업이 격리되어 있는지 확인을 한 번에 진행하세요(침입 여부 확인 방법, 백업과 복구 기본, SSH 키 최소 권한).

악용 상황

Check Point 권고는 「수십 곳」의 고객에 대한 활발한 악용을 관측했다고 밝힙니다. 공식 블로그는 침해된 장비가 패치되지 않은 것이었고 한 지역에 집중되어 있었다고 밝힙니다.
Check Point 공식 블로그는 10월 30일부터 11월 4일까지 악용이 관측되었다고 밝힙니다. Check Point Research는 10월 30일의 첫 번째 물결에서 일부 대상에 대한 파괴 활동이 있었고, 11월 2일의 두 번째 물결은 여러 나라와 업종에 걸쳤으며 파괴는 관측되지 않았다고 보고합니다.
체인: Check Point Research는 공격자가 Mobile Access 포털의 PHP2Shell로 침입한 뒤 이 결함으로 포털의 서비스 계정에서 root로 올라갔다고 보고합니다. root 획득 후 웹 셸, 지속적 백도어, 내부 스캐너가 설치되었고, 일부 사례에서는 가상화 호스트에서 와이퍼가 실행되었습니다.
CISA는 2026년 11월 13일 KEV에 추가했으며 기한은 11월 16일입니다(KEV 버전 2026.11.13). KEV 이름은 「Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability」입니다.
KEV는 랜섬웨어 사용을 Unknown, Forensic Triage를 Yes로 기재합니다.
CVE 레코드에는 CISA의 평가가 있습니다(악용: active, 자동화 가능: no, 기술적 영향: total).
본 사이트는 공격 주체나 동기를 다루지 않으며 피해 조직의 이름을 밝히지 않습니다.

같은 시기에 공개된 관련 취약점

Check Point 공식 블로그는 같은 기간의 수정을 표로 정리합니다(Jumbo Take 번호는 없음).

CVE	설명	CVSS	악용
CVE-2026-123039	Gaia OS Dynamic CLI의 로컬 권한 상승(이 글)	7.8	예
CVE-2026-109618, CVE-2026-109619	PHP2Shell: Mobile Access 같은 웹 인터페이스를 통한 인증 없는 원격 코드 실행	9.2	예(CISA KEV에 있음)
CVE-2026-107484	Gaia Portal 백엔드 핸들러에서 인증된 사용자의 권한 상승	7.3	아니요
CVE-2026-120490	NAT 규칙을 통한 관리 서버에서 게이트웨이로의 권한 경계 우회	3.8	아니요

PHP2Shell에 대해 블로그는 영향 범위를 Security Gateways(Mobile Access 포털)의 R80부터 R82.20까지 모든 버전과 일부 Spark Firewalls로 밝힙니다.
악용 열은 블로그 게시 시점(11월 12일)의 내용입니다.

출처

Check Point — sk1000362 (CVE-2026-123039)(영향받는 제품과 버전, 수정 Take, 회피책, 확인 방법, 악용 발표)
Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation(2026년 11월 12일. 관련 CVE, 11월 Jumbo Hotfix, 확인할 것)
Check Point Research — PHP2Shell Exploitation on Check Point Gateway(타임라인과 체인)
CVE.org — CVE-2026-123039(2026년 11월 12일 공개. CISA의 추가 포함)
NVD — CVE-2026-123039
CISA KEV — Known Exploited Vulnerabilities Catalog(11월 13일 추가, 기한 11월 16일)
BleepingComputer — Check Point warns of zero-day flaw exploited for root access(언론 보도, 위의 1차 출처와 교차 확인)

권고에 나온 설정 이름과 로그 위치를 제외하면 공격 절차는 포함하지 않았습니다. 최종 확인: 2026년 11월 14일.

이어서 읽기

인터넷에 노출된 장비 보호: VPN 장비와 원격 접속 방어
진입점 취약점: PHP의 치명적 취약점 2건과 긴급 수정 버전(2026년 10월)
실천: 취약점 대응 플레이북 / 자산 목록 체크리스트
우선순위 판단: CVSS, EPSS, KEV로 수정 순서 정하기
침입 확인: 사이트나 서버가 침해되었는지 확인하는 방법
용어: IOC란? / 백도어란?

FAQ

QCVE-2026-123039는 무엇인가요?

Check Point의 Gaia OS에 있는 로컬 권한 상승 취약점입니다. Check Point 권고(sk1000362)에 따르면 root 소유의 dynamic_server가 누구나 쓸 수 있는(0777) 로컬 소켓에서 대기하며, 접속하는 프로세스를 인증하지 않고, 받은 명령 문자열을 root로 실행합니다. 어플라이언스에서 코드를 실행할 수 있는 인증된 로컬 사용자가 root를 얻을 수 있습니다. CVSS v3.1은 7.8(높음)입니다.

Q영향받는 제품과 버전, 수정 방법은 무엇인가요?

권고는 R82.20, R82.10, R82, R81.20, R81.10, R81의 Check Point Force Firewalls, Management and Log Servers, Multi-Domain Security Management와 Multi-Domain Log Server, Maestro Orchestrator를 대상으로 듭니다. 수정은 Jumbo Hotfix Accumulator의 R82.20 Take 14, R82.10 Take 52, R82 Take 132, R81.20 Take 174 이상입니다. R81.10과 R81은 모두 지원 종료(EOS)로 표시되어 수정 Take가 없습니다. Spark Firewalls와 Smart-1 Cloud는 영향이 없습니다.

Q원격에서 공격할 수 있나요?

결함 자체는 로컬 권한 상승이며 어플라이언스에서의 사전 코드 실행이 필요합니다(CVSS 벡터의 AV:L). 다만 Check Point의 조사는 침입자가 먼저 다른 Mobile Access 포털 취약점(PHP2Shell)으로 장비에 들어간 뒤 이 결함으로 root가 된 실제 공격을 보고합니다. 외부에서 들어올 다른 경로가 있으면 원격 침입에서 root까지 이어질 수 있습니다.

Q아직 수정을 설치할 수 없다면 회피책이 있나요?

네. 권고는 dynamic_server 프로세스를 중지하고 다시 시작되지 않게 하는 방법(expert 모드에서 dbset 명령 사용, 절차는 권고 참조)을 설명합니다. 중지해 두는 동안 sk144112에 나온 Dynamic CLI 명령은 실패합니다. 권고에는 다시 활성화하는 절차도 나와 있습니다.

Q이미 악용되고 있나요?

네. Check Point는 수십 곳의 고객에 대한 활발한 악용을 관측했다고 밝혔습니다. CISA가 2026년 11월 13일 KEV에 추가했습니다(기한 11월 16일). KEV는 랜섬웨어 사용을 Unknown, Forensic Triage를 Yes로 기재합니다.

Q장비가 침해되었는지 어떻게 확인하나요?

Check Point의 권고는 dynamic_server가 받은 명령을 기록하는 /var/log/dynamicCli.log를 확인하는 방법을 보여 줍니다. 예상되는 Clish 형식이 아닌 명령과, 예상치 못한 UID에서 온 연결이 거부된 기록을 찾으세요. 결과가 비어 있다고 침해가 없었다는 증거는 아니므로 아래 점검과 함께 보세요.