威胁动态

高CVSS7.8#CVE-2026-123039 #Check Point #Gaia #权限提升 #防火墙 #KEV #PHP2Shell #Mobile Access

CVE-2026-123039 — Check Point Gaia OS 本地提权至 root 漏洞，已在真实攻击中被利用：解析与修复（已列入 KEV，期限 11月16日）

CVE-2026-123039：Check Point Gaia 的 DynamicCLI 缺陷使本地用户可成为 root（CVSS 7.8）。已被利用，11月13日列入 KEV。已在 Jumbo Hotfix 中修复。

发布于 2026-11-14 更新于 2026-11-14 最后核实 2026-11-14 5 分钟阅读

本页目录

本文解析 Check Point Gaia OS 的一个漏洞（CVE-2026-123039），它可使设备上的本地用户成为 root。内容从防御者的角度说明发生了什么、谁受影响以及如何应对，不涉及攻击步骤。

公告摘要 — ADVISORY / KEV

CVE: CVE-2026-123039（Gaia OS DynamicCLI 守护进程中的权限提升）
严重程度: CVSS v3.1 7.8（高危；向量 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H；由 Check Point 评定）
类型: 缺少授权（CWE-862）、关键资源权限分配不当（CWE-732）；本地提权
影响: 经过认证的本地用户可以 root 身份运行任意命令
受影响: Force Firewalls、Management 和 Log Servers、Multi-Domain Security Management 和 Log Server、Maestro Orchestrator（R82.20、R82.10、R82、R81.20、R81.10、R81）。Spark Firewalls 和 Smart-1 Cloud 不受影响
修复: Jumbo Hotfix Accumulator：R82.20 Take 14 / R82.10 Take 52 / R82 Take 132 / R81.20 Take 174（或更高）。R81.10 和 R81（EOS）没有修复
发布: 公告创建于 2026年11月8日（最后修改于 11月12日）。CVE 发布于 11月12日
利用情况: Check Point 确认已有几十家客户遭到攻击。2026年11月13日列入 CISA KEV（期限 11月16日）

7.8

CVSS v3.1（Check Point）

几十家

Check Point 确认的被利用客户

root

获得的权限

11月16日

KEV 期限

请安装 Jumbo Hotfix；在此之前，停止 dynamic_server 并检查日志中是否有被攻陷的迹象

这是一个“本地”提权漏洞，但在真实攻击中，它是进入门户之后的最后一步，把立足点变成了 root。当边界防火墙被拿下 root，本应保护您流量的设备就成了攻击者的据点。不要因为它是本地漏洞就推迟处理。

检查您的 Gaia 版本和 Jumbo Hotfix Take，并更新到修复的 Take 或更高版本。
暂时无法更新的，使用公告中的临时办法停止 dynamic_server（它关闭期间，部分 Dynamic CLI 命令无法使用）。
如果您对外开放了 Mobile Access 或其他远程访问功能，请确认这些功能的修复也已应用（是另外的 CVE；见下文）。
检查 /var/log/dynamicCli.log 以及下面列出的其他项目，看是否有被攻陷的迹象。

三天的短期限

KEV 的期限是列入之后三天（11月16日）。CISA 管辖范围之外的组织不受其约束，但由于已确认被利用，这个日期可以作为“最迟”的参考。

这是什么样的漏洞

Check Point 的公告解释称，一个以 root 身份运行的进程（dynamic_server）监听一个所有人可写（权限 0777）的本地套接字，不对连接的进程进行认证，并以 root 身份运行其收到的命令字符串。因此，任何人只要在设备上获得低权限的代码执行能力，就可以获得 root。

利用需要事先在设备上取得代码执行能力（CVSS 向量中的 AV:L 和 PR:L）。仅凭该漏洞本身，无法从外部直接攻击。
取得该代码执行能力的方式包括其他漏洞或被盗凭据。真实攻击中观察到的攻击链见下文。
公告中没有给出调用该服务的具体方式，本站也不描述。

受影响范围

项目	详情
产品	Force Firewalls、Management 和 Log Servers、Multi-Domain Security Management 和 Multi-Domain Log Server、Maestro Orchestrator
版本（公告）	R82.20、R82.10、R82、R81.20、R81.10、R81
修复	Jumbo Hotfix Accumulator：R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174 或更高
无修复	R81.10、R81（均为 EOS；公告中没有修复 Take）
不受影响	Spark Firewalls、Smart-1 Cloud
临时办法	停止 dynamic_server（之后部分 Dynamic CLI 命令会失败）

CVE 记录将受影响版本列为“R82.10 且 Jumbo Hotfix Take 50 或更低”“R82.20 且 Take 10 或更低”“R82 且 Take 130 或更低”以及“R81.20 且 Take 173 或更低”。对于该范围与公告中修复 Take 之间的数字（例如 R82.10 Take 51）如何处理，两份记录都无法确定，因此请以修复的 Take 或更高版本为准。
CVE 记录没有列出 R81.10 和 R81，但公告列出了。如果您运行的是终止支持的版本，则没有修复，请规划迁移。
大约同一时间，Check Point 还公布了同一攻击系列中的其他漏洞（见下文）。

记下每台设备的 Gaia 版本（R81.20、R82 等）以及所应用的 Jumbo Hotfix Accumulator Take。达到或高于修复 Take（R82.20：14，R82.10：52，R82：132，R81.20：174）即已修复该漏洞。不仅要列出防火墙，还要列出 Management Server、Log Server 和 Maestro Orchestrator（资产清点清单）。

通过套接字的权限确认修复

据公告，修复之后，在 expert 模式下列出 /tmp/dynamic_socket，应显示所有者 root、组 config、权限 0660（srw-rw----）。如果仍显示 0777，则修复没有生效。

检查 dynamic_server 是否在运行

为了决定是否使用临时办法，请在 expert 模式下检查 dynamic_server 进程是否在运行（公告给出了命令）。

检查对外开放了哪些远程访问功能

检查是否启用了 Mobile Access、Remote Access VPN 或任何其他可从互联网访问的功能。如果对外开放，它可能就是攻击链的入口。

今天该做什么

将 Jumbo Hotfix 更新到修复的 Take 或更高版本（最优先）

R82.20：Take 14，R82.10：Take 52，R82：Take 132，R81.20：Take 174 或更高。这包括 Management Server、Log Server 和 Maestro Orchestrator。KEV 期限为 11月16日。如果需要重启或集群故障转移，请先对照公告和您的运行手册确认，再继续。

在无法更新的设备上应用临时办法

公告介绍了如何停止 dynamic_server，并使其在重启后不再启动（在 expert 模式下的 dbset 设置）。停止期间，sk144112 中列出的 Dynamic CLI 命令会失败，因此请先检查是否有运维操作（例如自动化）依赖它们。更新之后，可以按公告的步骤重新启用。

检查 Mobile Access 及其他远程访问功能的暴露情况和修复

Check Point 的研究报告称，在真实攻击中，入口是 Mobile Access 门户的另一个漏洞（PHP2Shell：CVE-2026-109618 和 CVE-2026-109619）。Check Point 的官方博客建议安装 11月的 Jumbo Hotfix，并称 PHP2Shell 的修复（10月23日起可用的热修复）已包含在其中。该漏洞的修复 Take 来自 sk1000362（见上表），而不是博客。请先更新面向互联网的 Mobile Access，并关闭您不使用的对外功能。PHP 方面的内容见两个严重的 PHP 漏洞与紧急修复版本。

检查是否有被攻陷的迹象

Check Point 的公告称，dynamic_server 会将其收到的命令记录到 /var/log/dynamicCli.log，并说明了如何搜索该日志（使用公告中的 grep 条件）。需要查看的要点：收到的命令中是否有不具备通常 Clish 形式（公告给出的前缀字符串）的，以及是否有来自未授权 UID 的连接被拒绝的记录（这类记录在修复后才会出现；意外的 UID，例如 99“nobody”，表示提权尝试被阻止；请与门户、Web 和认证日志关联，以找到入口）。

对于 PHP2Shell，Check Point 的官方博客列出了一些痕迹，例如 Mobile Access 临时目录中的会话文件、名称伪装成 Check Point 组件的进程和文件、/tmp 下的扫描或擦除工具，以及防火墙流量日志中无法解释的空档。博客称，没有匹配并不能排除被攻陷，而有匹配则需要立即调查。详细的指标请见 Check Point Research 的文章。

如果怀疑已被攻陷，不要只停留在设备上

Check Point 的研究报告了这样的案例：获得 root 之后，攻击者从设备上扫描内部资产，转移到虚拟化主机（VMware ESXi）并销毁数据。如果您在某台设备上发现迹象，请一并完成：轮换设备的凭据和服务账号密钥、检查内部主机（尤其是虚拟化主机）上的日志，并确认备份是隔离的（如何检查是否遭到入侵、备份与恢复要点、SSH 密钥的最小权限）。

利用情况

Check Point 的公告称，观察到针对“几十家”客户的主动利用。其官方博客称，被攻陷的设备是未打补丁的，且集中在单一地区。
Check Point 的官方博客称，在 10月30日至 11月4日期间观察到了利用。Check Point Research 报告称，10月30日的第一波攻击中，对部分目标有破坏性活动；11月2日的第二波攻击涉及多个国家和行业，未观察到破坏。
攻击链：Check Point Research 报告称，攻击者通过 Mobile Access 门户上的 PHP2Shell 进入，然后利用该漏洞从门户的服务账号提升到 root。获得 root 之后，被放置了 Web shell、持久后门和内部扫描器，在某些情况下还在虚拟化主机上运行了擦除器。
CISA 于 2026年11月13日将其列入 KEV，期限为 11月16日（KEV 版本 2026.11.13）。KEV 中的名称是“Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability”。
KEV 将勒索软件使用情况列为 Unknown，Forensic Triage 列为 Yes。
CVE 记录中包含 CISA 的评估（利用：active，可自动化：no，技术影响：total）。
本站不涉及归因或动机，也不点出受影响的组织。

同时公布的相关漏洞

Check Point 的官方博客以表格形式列出了同一时期的修复（未给出 Jumbo 的 Take 编号）。

CVE	说明	CVSS	已被利用
CVE-2026-123039	Gaia OS Dynamic CLI 中的本地提权（本文）	7.8	是
CVE-2026-109618、CVE-2026-109619	PHP2Shell：通过 Mobile Access 等 Web 界面实现的未经认证的远程代码执行	9.2	是（已列入 CISA KEV）
CVE-2026-107484	Gaia Portal 后端处理程序中经过认证用户的权限提升	7.3	否
CVE-2026-120490	通过 NAT 规则绕过管理端到网关的权限边界	3.8	否

对于 PHP2Shell，博客给出的受影响范围是 Security Gateway（Mobile Access 门户）的所有 R80 至 R82.20 版本以及部分 Spark Firewalls。
“已被利用”一栏反映的是博客发布时（11月12日）的情况。

信息来源

Check Point — sk1000362 (CVE-2026-123039)（受影响产品和版本、修复 Take、临时办法、检查方法、关于被利用的说明）
Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation（2026年11月12日；相关 CVE、11月的 Jumbo Hotfix、检查要点）
Check Point Research — PHP2Shell Exploitation on Check Point Gateway（时间线和攻击链）
CVE.org — CVE-2026-123039（2026年11月12日发布；含 CISA 的列入信息）
NVD — CVE-2026-123039
CISA KEV — Known Exploited Vulnerabilities Catalog（11月13日列入，期限 11月16日）
BleepingComputer — Check Point warns of zero-day flaw exploited for root access（媒体报道，已与上述一手来源交叉核对）

除公告中给出的设置名称和日志位置外，本文不包含攻击步骤。最后确认：2026年11月14日。

FAQ

QCVE-2026-123039 是什么？

这是 Check Point 的 Gaia OS 中的本地提权漏洞。据 Check Point 的公告（sk1000362），以 root 身份运行的 dynamic_server 监听一个所有人可写（0777）的本地套接字，不对连接的进程进行认证，并以 root 身份运行其收到的命令字符串。能够在设备上运行代码的经过认证的本地用户可以获得 root。CVSS v3.1 为 7.8（高危）。

Q哪些产品和版本受影响，修复方式是什么？

公告列出了 Check Point 的 Force Firewalls、Management 和 Log Servers、Multi-Domain Security Management 和 Multi-Domain Log Server，以及 Maestro Orchestrator，版本为 R82.20、R82.10、R82、R81.20、R81.10 和 R81。修复方式是 Jumbo Hotfix Accumulator：R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174 或更高版本。R81.10 和 R81 均已标为终止支持（EOS），未列出修复 Take。Spark Firewalls 和 Smart-1 Cloud 不受影响。

Q可以被远程攻击吗？

该漏洞本身是本地提权，需要事先在设备上取得代码执行能力（CVSS 向量中的 AV:L）。不过，Check Point 的研究报告了真实攻击：入侵者先通过 Mobile Access 门户的另一个漏洞（PHP2Shell）进入设备，然后利用该漏洞成为 root。如果从外部还有其他入口，攻击路径可以从远程进入一直到 root。

Q暂时无法安装修复，有临时办法吗？

有。公告介绍了停止 dynamic_server 进程并阻止其重新启动的办法（在 expert 模式下使用 dbset 命令；步骤见公告）。停止期间，sk144112 中列出的 Dynamic CLI 命令会失败。公告也给出了重新启用的步骤。

Q是否已经被利用？

是。Check Point 称观察到针对几十家客户的主动利用。CISA 于 2026年11月13日将其列入 KEV（期限 11月16日）。KEV 将勒索软件使用情况列为 Unknown，Forensic Triage 列为 Yes。

Q如何检查设备是否被攻陷？

Check Point 的公告介绍了如何检查 /var/log/dynamicCli.log，dynamic_server 会在其中记录其收到的命令。请查找不符合预期 Clish 形式的命令，以及来自意外 UID 的连接被拒绝的记录。结果为空并不能证明没有被攻陷，因此请结合下面的检查一起进行。