Uma explicação sobre uma vulnerabilidade do Check Point Gaia OS (CVE-2026-123039) que permite a um usuário local do appliance virar root. Cobre o que acontece, quem é afetado e como responder, do lado da defesa e sem passos de ataque.
- CVE
- CVE-2026-123039 (escalonamento de privilégios no daemon DynamicCLI do Gaia OS)
- Gravidade
- CVSS v3.1 7,8 (alta; vetor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H; atribuída pela Check Point)
- Tipo
- Falta de autorização (CWE-862), atribuição incorreta de permissão a um recurso crítico (CWE-732); escalonamento local de privilégios
- Impacto
- Um usuário local autenticado pode executar comandos arbitrários como root
- Afetado
- Force Firewalls, Management e Log Servers, Multi-Domain Security Management e Log Server, Maestro Orchestrator (R82.20, R82.10, R82, R81.20, R81.10, R81). Spark Firewalls e Smart-1 Cloud não são afetados
- Correção
- Jumbo Hotfix Accumulator: R82.20 Take 14 / R82.10 Take 52 / R82 Take 132 / R81.20 Take 174 (ou posterior). Sem correção para R81.10 e R81 (EOS)
- Publicado
- Boletim criado em 8 de novembro de 2026 (última modificação em 12 de novembro). CVE publicado em 12 de novembro
- Exploração
- A Check Point confirmou exploração contra algumas dezenas de clientes. Incluída no CISA KEV em 13 de novembro de 2026 (prazo: 16 de novembro)
Um prazo curto, de três dias
O prazo do KEV é três dias após a inclusão (16 de novembro). Organizações fora do alcance da CISA não são obrigadas por ele, mas como a exploração está confirmada, a data serve como guia de «no máximo até».
O que é a vulnerabilidade
O boletim da Check Point explica que um processo de propriedade do root (dynamic_server) escuta em um socket local com permissão de escrita para todos (permissões 0777), não autentica o processo que se conecta e executa como root as cadeias de comando que recebe. Assim, quem conseguir executar código com poucos privilégios no appliance pode obter root.
- A exploração exige execução prévia de código no appliance (AV:L e PR:L no vetor CVSS). Sozinha, a falha não pode ser atacada diretamente de fora.
- Formas de obter essa execução de código incluem outras vulnerabilidades ou credenciais roubadas. A cadeia vista nos ataques reais é descrita abaixo.
- A forma específica de chamar o serviço não consta do boletim, e este site não a descreve.
Escopo
| Item | Detalhe |
|---|---|
| Produtos | Force Firewalls, Management e Log Servers, Multi-Domain Security Management e Multi-Domain Log Server, Maestro Orchestrator |
| Versões (boletim) | R82.20, R82.10, R82, R81.20, R81.10, R81 |
| Correção | Jumbo Hotfix Accumulator: R82.20 Take 14, R82.10 Take 52, R82 Take 132, R81.20 Take 174 ou posterior |
| Sem correção | R81.10, R81 (ambos EOS; sem take de correção no boletim) |
| Não afetados | Spark Firewalls, Smart-1 Cloud |
| Solução alternativa | Interromper o dynamic_server (alguns comandos do Dynamic CLI então falham) |
- O registro CVE lista as versões afetadas como «R82.10 com Jumbo Hotfix Take 50 ou inferior», «R82.20 com Take 10 ou inferior», «R82 com Take 130 ou inferior» e «R81.20 com Take 173 ou inferior». Como tratar os números entre isso e o take corrigido do boletim (por exemplo R82.10 Take 51) não pode ser resolvido por nenhum dos dois registros, então alinhe-se ao take corrigido ou posterior.
- O registro CVE não lista R81.10 e R81, mas o boletim lista. Se você usa versões sem suporte, não há correção, então planeje uma migração.
- Na mesma época, a Check Point publicou outras vulnerabilidades da mesma família de ataque (veja abaixo).
Como verificar se você é afetado
Verifique a versão do Gaia e o take do Jumbo Hotfix
Anote a versão do Gaia de cada dispositivo (R81.20, R82 etc.) e o take do Jumbo Hotfix Accumulator aplicado. No take corrigido ou em um posterior (R82.20: 14, R82.10: 52, R82: 132, R81.20: 174) a falha está corrigida. Liste não só os firewalls, mas também os Management Servers, Log Servers e Maestro Orchestrators (lista de verificação do inventário de ativos).
Confirme a correção pelas permissões do socket
Segundo o boletim, após a correção, listar o /tmp/dynamic_socket no modo expert mostra proprietário root, grupo config e modo 0660 (srw-rw----). Se ainda mostrar 0777, a correção não está em vigor.
Verifique se o dynamic_server está em execução
Para decidir se usa a solução alternativa, verifique no modo expert se o processo dynamic_server está em execução (o boletim traz o comando).
Verifique quais recursos de acesso remoto estão expostos
Verifique se o Mobile Access, o Remote Access VPN ou qualquer outro recurso acessível pela internet está ativado. Se estiver exposto, pode ser o ponto de entrada da cadeia.
O que fazer hoje
Atualize o Jumbo Hotfix para o take corrigido ou posterior (prioridade máxima)
R82.20: Take 14, R82.10: Take 52, R82: Take 132, R81.20: Take 174 ou posterior. Inclui Management Servers, Log Servers e Maestro Orchestrators. O prazo do KEV é 16 de novembro. Se for necessário reiniciar ou fazer failover do cluster, confirme no boletim e no seu procedimento antes de prosseguir.
Aplique a solução alternativa nos dispositivos que não pode atualizar
O boletim mostra como interromper o dynamic_server e impedir que ele inicie de novo após uma reinicialização (uma configuração dbset no modo expert). Enquanto está parado, os comandos do Dynamic CLI listados no sk144112 falham, então verifique antes se alguma operação (a automação, por exemplo) depende deles. Depois de atualizar, você pode reativá-lo com os passos do boletim.
Verifique a exposição e as correções do Mobile Access e de outros recursos de acesso remoto
A pesquisa da Check Point relata que, nos ataques reais, a via de entrada foi outra vulnerabilidade do portal Mobile Access (PHP2Shell: CVE-2026-109618 e CVE-2026-109619). O blog oficial da Check Point recomenda instalar o Jumbo Hotfix de novembro e diz que a correção do PHP2Shell (um hotfix disponível desde 23 de outubro) está incluída nele. Os takes corrigidos para esta falha vêm do sk1000362 (veja a tabela acima), não do blog. Atualize primeiro o Mobile Access exposto à internet e desative os recursos voltados ao exterior que você não usa. A parte do PHP é tratada em duas vulnerabilidades críticas do PHP e as versões corrigidas de emergência.
Verifique sinais de comprometimento
O boletim da Check Point diz que o dynamic_server registra os comandos que recebe em /var/log/dynamicCli.log e mostra como pesquisar esse log (use as condições grep do boletim). Os pontos a observar: se algum comando recebido não tem a forma Clish habitual (a cadeia de prefixo que o boletim mostra) e se há registros de conexões rejeitadas de UIDs não autorizados, que aparecem após a correção (um UID inesperado como 99, «nobody», indica uma tentativa de escalonamento bloqueada; correlacione com os logs do portal, da web e de autenticação para achar o ponto de entrada).
Para o PHP2Shell, o blog oficial da Check Point lista vestígios como arquivos de sessão no diretório temporário do Mobile Access, processos e arquivos com nomes que imitam componentes da Check Point, ferramentas de varredura ou de apagamento em /tmp e lacunas inexplicadas nos logs de tráfego do firewall. Diz que nenhuma correspondência não descarta comprometimento e que uma correspondência exige investigação imediata. Para os indicadores detalhados, veja o artigo da Check Point Research.
Se suspeitar de comprometimento, não pare no appliance
A pesquisa da Check Point relata casos em que, depois de obter root, os atacantes varreram ativos internos a partir do dispositivo, passaram para um host de virtualização (VMware ESXi) e destruíram dados. Se encontrar sinais em um dispositivo, trabalhe de uma vez em rotacionar as credenciais do dispositivo e as chaves de contas de serviço, verificar os logs de hosts internos (especialmente os de virtualização) e confirmar que os backups estão isolados (como verificar uma intrusão, noções básicas de backup e recuperação, menor privilégio para chaves SSH).
Status da exploração
- O boletim da Check Point diz que observou exploração ativa contra «algumas dezenas» de clientes. Seu blog oficial diz que os dispositivos comprometidos não estavam corrigidos e se concentravam em uma única região.
- O blog oficial da Check Point diz que a exploração foi observada de 30 de outubro a 4 de novembro. A Check Point Research relata que a primeira onda, em 30 de outubro, incluiu atividade destrutiva contra alguns alvos, e que a segunda onda, em 2 de novembro, abrangeu vários países e setores sem destruição observada.
- A cadeia: a Check Point Research relata que os atacantes entraram pelo PHP2Shell no portal Mobile Access e depois usaram essa falha para ir da conta de serviço do portal a root. Depois de obter root, colocaram web shells, um backdoor persistente e um scanner interno, e em alguns casos executaram um wiper em um host de virtualização.
- A CISA a incluiu no KEV em 13 de novembro de 2026 com prazo de 16 de novembro (versão do KEV 2026.11.13). O nome no KEV é «Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability».
- O KEV registra o uso em ransomware como Desconhecido e a triagem forense como Sim.
- O registro CVE traz a avaliação da CISA (exploração: ativa; automatizável: não; impacto técnico: total).
- Este site não trata de atribuição nem de motivos, e não nomeia organizações afetadas.
Vulnerabilidades relacionadas publicadas ao mesmo tempo
O blog oficial da Check Point tabula as correções do mesmo período (não informa números de take do Jumbo).
| CVE | Descrição | CVSS | Explorada |
|---|---|---|---|
| CVE-2026-123039 | Escalonamento local de privilégios no Dynamic CLI do Gaia OS (este artigo) | 7,8 | Sim |
| CVE-2026-109618, CVE-2026-109619 | PHP2Shell: execução remota de código sem autenticação por interfaces web como o Mobile Access | 9,2 | Sim (no CISA KEV) |
| CVE-2026-107484 | Escalonamento de privilégios por um usuário autenticado nos handlers do backend do Gaia Portal | 7,3 | Não |
| CVE-2026-120490 | Contorno do limite de privilégios de gerenciamento para gateway por regras de NAT | 3,8 | Não |
- Para o PHP2Shell, o blog informa como faixa afetada todas as versões R80 a R82.20 de Security Gateways (portal Mobile Access) e alguns Spark Firewalls.
- A coluna de exploração reflete o blog no momento da publicação (12 de novembro).
Fontes
- Check Point — sk1000362 (CVE-2026-123039) (produtos e versões afetados, takes corrigidos, solução alternativa, como verificar, declaração de exploração)
- Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation (12 de novembro de 2026; CVEs relacionados, o Jumbo Hotfix de novembro, o que verificar)
- Check Point Research — PHP2Shell Exploitation on Check Point Gateway (cronologia e cadeia)
- CVE.org — CVE-2026-123039 (publicado em 12 de novembro de 2026; inclui a inclusão pela CISA)
- NVD — CVE-2026-123039
- CISA KEV — Known Exploited Vulnerabilities Catalog (incluído em 13 de novembro; prazo em 16 de novembro)
- BleepingComputer — Check Point warns of zero-day flaw exploited for root access (reportagem, conferida com as fontes primárias acima)
Além dos nomes de configurações e locais de log dados no boletim, não são incluídos passos de ataque. Última verificação: 14 de novembro de 2026.
Leia a seguir
- Protegendo dispositivos expostos à internet: Como defender dispositivos VPN e o acesso remoto
- As vulnerabilidades de entrada: Duas vulnerabilidades críticas do PHP e as versões corrigidas de emergência (outubro de 2026)
- Prática: O guia de correção de vulnerabilidades / Lista de verificação do inventário de ativos
- Decidir: Priorizar com CVSS, EPSS e KEV
- Verificar intrusões: Como verificar se um site ou servidor foi comprometido
- Termos: O que é um IOC? / O que é um backdoor?