Разбор уязвимости Check Point Gaia OS (CVE-2026-123039), которая позволяет локальному пользователю устройства получить root. Рассказывается, что происходит, кого это касается и как реагировать, с точки зрения защитника и без шагов атаки.
- CVE
- CVE-2026-123039 (повышение привилегий в демоне DynamicCLI Gaia OS)
- Серьёзность
- CVSS v3.1 7.8 (высокая; вектор AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H; присвоена Check Point)
- Тип
- Отсутствие авторизации (CWE-862), неверное назначение прав критическому ресурсу (CWE-732); локальное повышение привилегий
- Последствия
- Аутентифицированный локальный пользователь может выполнять произвольные команды от root
- Затронуто
- Force Firewalls, серверы управления и журналов, Multi-Domain Security Management и Log Server, Maestro Orchestrator (R82.20, R82.10, R82, R81.20, R81.10, R81). Spark Firewalls и Smart-1 Cloud не затронуты
- Исправление
- Jumbo Hotfix Accumulator: R82.20 Take 14 / R82.10 Take 52 / R82 Take 132 / R81.20 Take 174 (или новее). Для R81.10 и R81 (EOS) исправления нет
- Опубликовано
- Бюллетень создан 8 ноября 2026 года (последнее изменение 12 ноября). CVE опубликована 12 ноября
- Эксплуатация
- Check Point подтвердила эксплуатацию у нескольких десятков клиентов. Добавлена в KEV CISA 13 ноября 2026 года (срок 16 ноября)
Короткий срок в три дня
Срок KEV — через три дня после добавления (16 ноября). Организации вне сферы действия CISA им не связаны, но раз эксплуатация подтверждена, дата служит ориентиром «не позже».
В чём заключается уязвимость
Бюллетень Check Point объясняет, что принадлежащий root процесс (dynamic_server) слушает локальный сокет, доступный на запись всем (права 0777), не проверяет подлинность подключающегося процесса и выполняет полученные строки команд от root. Поэтому любой, кто получит выполнение кода с низкими привилегиями на устройстве, может получить root.
- Для эксплуатации нужно предварительное выполнение кода на устройстве (AV:L и PR:L в векторе CVSS). Сама по себе ошибка не позволяет атаковать напрямую снаружи.
- Способы получить такое выполнение кода включают другие уязвимости или украденные учётные данные. Цепочка, замеченная в реальных атаках, описана ниже.
- Конкретный способ обращения к службе в бюллетене не приводится, и этот сайт его не описывает.
Кого это касается
| Пункт | Подробности |
|---|---|
| Продукты | Force Firewalls, серверы управления и журналов, Multi-Domain Security Management и Multi-Domain Log Server, Maestro Orchestrator |
| Версии (бюллетень) | R82.20, R82.10, R82, R81.20, R81.10, R81 |
| Исправление | Jumbo Hotfix Accumulator: R82.20 Take 14, R82.10 Take 52, R82 Take 132, R81.20 Take 174 или новее |
| Без исправления | R81.10, R81 (обе EOS; в бюллетене нет исправляющего Take) |
| Не затронуты | Spark Firewalls, Smart-1 Cloud |
| Обходной путь | Остановить dynamic_server (часть команд Dynamic CLI тогда не выполняется) |
- В записи CVE затронутые версии указаны как «R82.10 с Jumbo Hotfix Take 50 и ниже», «R82.20 с Take 10 и ниже», «R82 с Take 130 и ниже» и «R81.20 с Take 173 и ниже». Как относиться к номерам между этим и исправляющим Take из бюллетеня (например, R82.10 Take 51), по двум записям решить нельзя, поэтому ориентируйтесь на исправляющий Take или новее.
- В записи CVE нет R81.10 и R81, но в бюллетене они есть. Если вы используете версии с окончанием поддержки, исправления нет, поэтому планируйте миграцию.
- Примерно в то же время Check Point опубликовала другие уязвимости того же семейства атак (см. ниже).
Как проверить, затронуты ли вы
Проверьте версию Gaia и Take Jumbo Hotfix
Запишите для каждого устройства версию Gaia (R81.20, R82 и т. д.) и применённый Take Jumbo Hotfix Accumulator. На исправляющем Take или новее (R82.20: 14, R82.10: 52, R82: 132, R81.20: 174) ошибка исправлена. Внесите в список не только межсетевые экраны, но и серверы управления, серверы журналов и Maestro Orchestrator (чек-лист инвентаризации активов).
Подтвердите исправление по правам сокета
Согласно бюллетеню, после исправления вывод списка /tmp/dynamic_socket в режиме expert показывает владельца root, группу config и режим 0660 (srw-rw----). Если по-прежнему 0777, исправление не действует.
Проверьте, работает ли dynamic_server
Чтобы решить, нужен ли обходной путь, проверьте в режиме expert, запущен ли процесс dynamic_server (команда приведена в бюллетене).
Проверьте, какие функции удалённого доступа открыты наружу
Проверьте, включены ли Mobile Access, Remote Access VPN или любая другая функция, доступная из интернета. Если она открыта, она может стать точкой входа цепочки.
Что сделать сегодня
Обновите Jumbo Hotfix до исправляющего Take или новее (высший приоритет)
R82.20: Take 14, R82.10: Take 52, R82: Take 132, R81.20: Take 174 или новее. Это относится и к серверам управления, серверам журналов и Maestro Orchestrator. Срок KEV — 16 ноября. Если нужна перезагрузка или переключение кластера, прежде чем продолжать, уточните это в бюллетене и своей инструкции по эксплуатации.
Примените обходной путь на устройствах, которые нельзя обновить
Бюллетень показывает, как остановить dynamic_server и не дать ему запуститься снова после перезапуска (параметр dbset в режиме expert). Пока он остановлен, команды Dynamic CLI из sk144112 не выполняются, поэтому сначала проверьте, не зависит ли от них какая-либо операция (например, автоматизация). После обновления его можно снова включить по шагам из бюллетеня.
Проверьте доступность наружу и исправления для Mobile Access и других функций удалённого доступа
Исследование Check Point сообщает, что в реальных атаках входом служила другая уязвимость портала Mobile Access (PHP2Shell: CVE-2026-109618 и CVE-2026-109619). Официальный блог Check Point рекомендует установить ноябрьский Jumbo Hotfix и говорит, что исправление PHP2Shell (хотфикс, доступный с 23 октября) в него входит. Исправляющие Take для этой ошибки взяты из sk1000362 (см. таблицу выше), а не из блога. Сначала обновите Mobile Access, выставленный в интернет, и отключите неиспользуемые функции, обращённые наружу. О стороне PHP см. две критические уязвимости PHP и экстренные исправленные версии.
Проверьте признаки взлома
Бюллетень Check Point говорит, что dynamic_server записывает получаемые команды в /var/log/dynamicCli.log, и показывает, как искать в этом журнале (используйте условия grep из бюллетеня). На что смотреть: есть ли полученные команды без обычной формы Clish (строка-префикс, которую показывает бюллетень) и есть ли записи об отклонённых соединениях от неразрешённых UID, которые появляются после исправления (неожиданный UID, например 99 «nobody», указывает на заблокированную попытку повышения привилегий; сопоставьте с журналами портала, веба и аутентификации, чтобы найти точку входа).
Для PHP2Shell официальный блог Check Point перечисляет следы вроде файлов сессий во временном каталоге Mobile Access, процессов и файлов с именами, похожими на компоненты Check Point, инструментов сканирования или стирания в /tmp и необъяснимых пропусков в журналах трафика межсетевого экрана. Там сказано, что отсутствие совпадений не исключает взлома, а совпадение требует немедленного расследования. Подробные индикаторы см. в статье Check Point Research.
Если есть подозрение на взлом, не останавливайтесь на устройстве
Исследование Check Point сообщает о случаях, когда, получив root, атакующие сканировали внутренние активы с устройства, переходили на хост виртуализации (VMware ESXi) и уничтожали данные. Если вы нашли признаки на устройстве, одним заходом смените учётные данные устройства и ключи сервисных аккаунтов, проверьте журналы внутренних хостов (особенно хостов виртуализации) и убедитесь, что резервные копии изолированы (как проверить вторжение, основы резервного копирования и восстановления, минимальные привилегии для SSH-ключей).
Состояние эксплуатации
- Бюллетень Check Point говорит, что она наблюдала активную эксплуатацию у «нескольких десятков» клиентов. Её официальный блог говорит, что взломанные устройства были без патчей и сосредоточены в одном регионе.
- Официальный блог Check Point говорит, что эксплуатацию наблюдали с 30 октября по 4 ноября. Check Point Research сообщает, что первая волна 30 октября включала разрушительные действия против некоторых целей, а вторая волна 2 ноября охватила несколько стран и отраслей, и разрушений не наблюдалось.
- Цепочка: Check Point Research сообщает, что атакующие проникли через PHP2Shell в портале Mobile Access, затем с помощью этой ошибки поднялись от сервисной учётной записи портала до root. После получения root были размещены веб-шеллы, постоянный бэкдор и внутренний сканер, а в некоторых случаях на хосте виртуализации запускался вайпер.
- CISA добавила уязвимость в KEV 13 ноября 2026 года со сроком 16 ноября (версия KEV 2026.11.13). Название в KEV — «Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability».
- KEV указывает использование в программах-вымогателях как Unknown, а Forensic Triage как Yes.
- Запись CVE содержит оценку CISA (эксплуатация: active, автоматизируемость: no, технический эффект: total).
- Этот сайт не касается атрибуции и мотивов и не называет пострадавшие организации.
Связанные уязвимости, опубликованные одновременно
Официальный блог Check Point сводит в таблицу исправления того же периода (номера Jumbo Take не приводятся).
| CVE | Описание | CVSS | Эксплуатируется |
|---|---|---|---|
| CVE-2026-123039 | Локальное повышение привилегий в Dynamic CLI Gaia OS (эта статья) | 7.8 | Да |
| CVE-2026-109618, CVE-2026-109619 | PHP2Shell: удалённое выполнение кода без аутентификации через веб-интерфейсы вроде Mobile Access | 9.2 | Да (в KEV CISA) |
| CVE-2026-107484 | Повышение привилегий аутентифицированным пользователем в обработчиках бэкенда Gaia Portal | 7.3 | Нет |
| CVE-2026-120490 | Обход границы привилегий между сервером управления и шлюзом через правила NAT | 3.8 | Нет |
- Для PHP2Shell блог указывает затронутый диапазон: все версии R80–R82.20 Security Gateways (портал Mobile Access) и некоторые Spark Firewalls.
- Столбец «Эксплуатируется» отражает блог на момент публикации (12 ноября).
Источники
- Check Point — sk1000362 (CVE-2026-123039) (затронутые продукты и версии, исправляющие Take, обходной путь, способ проверки, заявление об эксплуатации)
- Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation (12 ноября 2026 года; связанные CVE, ноябрьский Jumbo Hotfix, что проверить)
- Check Point Research — PHP2Shell Exploitation on Check Point Gateway (хронология и цепочка)
- CVE.org — CVE-2026-123039 (опубликовано 12 ноября 2026 года; включает добавление CISA)
- NVD — CVE-2026-123039
- CISA KEV — Known Exploited Vulnerabilities Catalog (добавлена 13 ноября, срок 16 ноября)
- BleepingComputer — Check Point warns of zero-day flaw exploited for root access (сообщение прессы, сверено с первичными источниками выше)
Кроме названий параметров и расположения журналов, указанных в бюллетене, шаги атаки не приводятся. Последняя проверка: 14 ноября 2026 г.
Читайте далее
- Защита устройств, выставленных в интернет: Защита VPN-устройств и удалённого доступа
- Уязвимости точки входа: Две критические уязвимости PHP и экстренные исправленные версии (октябрь 2026)
- Практика: Сценарий устранения уязвимостей / Чек-лист инвентаризации активов
- Приоритизация: Порядок исправлений по CVSS, EPSS и KEV
- Проверка вторжения: Как проверить, взломан ли сайт или сервер
- Термины: Что такое IOC? / Что такое бэкдор?