威脅情報

高CVSS7.8#CVE-2026-123039 #Check Point #Gaia #權限提升 #防火牆 #KEV #PHP2Shell #Mobile Access

CVE-2026-123039 — Check Point Gaia OS 本地提權至 root 漏洞，已在真實攻擊中被利用：解析與修復（已列入 KEV，期限 11月16日）

CVE-2026-123039：Check Point Gaia 的 DynamicCLI 缺陷使本地使用者可成為 root（CVSS 7.8）。已被利用，11月13日列入 KEV。已在 Jumbo Hotfix 中修復。

發布於 2026-11-14 更新於 2026-11-14 最後核實 2026-11-14 閱讀時間 5 分鐘

本頁內容

本文解析 Check Point Gaia OS 的一個漏洞（CVE-2026-123039），它可使裝置上的本地使用者成為 root。內容從防禦者的角度說明發生了什麼、誰受影響以及如何應對，不涉及攻擊步驟。

公告摘要 — ADVISORY / KEV

CVE: CVE-2026-123039（Gaia OS DynamicCLI 守護程序中的權限提升）
嚴重程度: CVSS v3.1 7.8（高危；向量 AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H；由 Check Point 評定）
型別: 缺少授權（CWE-862）、關鍵資源權限分配不當（CWE-732）；本地提權
影響: 經過認證的本地使用者可以 root 身份執行任意命令
受影響: Force Firewalls、Management 和 Log Servers、Multi-Domain Security Management 和 Log Server、Maestro Orchestrator（R82.20、R82.10、R82、R81.20、R81.10、R81）。Spark Firewalls 和 Smart-1 Cloud 不受影響
修復: Jumbo Hotfix Accumulator：R82.20 Take 14 / R82.10 Take 52 / R82 Take 132 / R81.20 Take 174（或更高）。R81.10 和 R81（EOS）沒有修復
發布: 公告建立於 2026年11月8日（最後修改於 11月12日）。CVE 發布於 11月12日
利用情況: Check Point 確認已有幾十家客戶遭到攻擊。2026年11月13日列入 CISA KEV（期限 11月16日）

7.8

CVSS v3.1（Check Point）

幾十家

Check Point 確認的被利用客戶

root

獲得的權限

11月16日

KEV 期限

請安裝 Jumbo Hotfix；在此之前，停止 dynamic_server 並檢查日誌中是否有被攻陷的跡象

這是一個「本地」提權漏洞，但在真實攻擊中，它是進入門戶之後的最後一步，把立足點變成了 root。當邊界防火牆被拿下 root，本應保護您流量的裝置就成了攻擊者的據點。不要因為它是本地漏洞就推遲處理。

檢查您的 Gaia 版本和 Jumbo Hotfix Take，並更新到修復的 Take 或更高版本。
暫時無法更新的，使用公告中的臨時辦法停止 dynamic_server（它關閉期間，部分 Dynamic CLI 命令無法使用）。
如果您對外開放了 Mobile Access 或其他遠端存取功能，請確認這些功能的修復也已套用（是另外的 CVE；見下文）。
檢查 /var/log/dynamicCli.log 以及下面列出的其他專案，看是否有被攻陷的跡象。

三天的短期限

KEV 的期限是列入之後三天（11月16日）。CISA 管轄範圍之外的組織不受其約束，但由於已確認被利用，這個日期可以作為「最遲」的參考。

這是什麼樣的漏洞

Check Point 的公告解釋稱，一個以 root 身份執行的程序（dynamic_server）監聽一個所有人可寫（權限 0777）的本地套接字，不對連線的程序進行認證，並以 root 身份執行其收到的命令字串。因此，任何人只要在裝置上獲得低權限的程式碼執行能力，就可以獲得 root。

利用需要事先在裝置上取得程式碼執行能力（CVSS 向量中的 AV:L 和 PR:L）。僅憑該漏洞本身，無法從外部直接攻擊。
取得該程式碼執行能力的方式包括其他漏洞或被盜憑證。真實攻擊中觀察到的攻擊鏈見下文。
公告中沒有給出呼叫該服務的具體方式，本站也不描述。

受影響範圍

專案	詳情
產品	Force Firewalls、Management 和 Log Servers、Multi-Domain Security Management 和 Multi-Domain Log Server、Maestro Orchestrator
版本（公告）	R82.20、R82.10、R82、R81.20、R81.10、R81
修復	Jumbo Hotfix Accumulator：R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174 或更高
無修復	R81.10、R81（均為 EOS；公告中沒有修復 Take）
不受影響	Spark Firewalls、Smart-1 Cloud
臨時辦法	停止 dynamic_server（之後部分 Dynamic CLI 命令會失敗）

CVE 記錄將受影響版本列為「R82.10 且 Jumbo Hotfix Take 50 或更低」「R82.20 且 Take 10 或更低」「R82 且 Take 130 或更低」以及「R81.20 且 Take 173 或更低」。對於該範圍與公告中修復 Take 之間的數字（例如 R82.10 Take 51）如何處理，兩份記錄都無法確定，因此請以修復的 Take 或更高版本為準。
CVE 記錄沒有列出 R81.10 和 R81，但公告列出了。如果您執行的是終止支援的版本，則沒有修復，請規劃遷移。
大約同一時間，Check Point 還公布了同一攻擊系列中的其他漏洞（見下文）。

記下每台裝置的 Gaia 版本（R81.20、R82 等）以及所套用的 Jumbo Hotfix Accumulator Take。達到或高於修復 Take（R82.20：14，R82.10：52，R82：132，R81.20：174）即已修復該漏洞。不僅要列出防火牆，還要列出 Management Server、Log Server 和 Maestro Orchestrator（資產清點清單）。

透過套接字的權限確認修復

據公告，修復之後，在 expert 模式下列出 /tmp/dynamic_socket，應顯示所有者 root、組 config、權限 0660（srw-rw----）。如果仍顯示 0777，則修復沒有生效。

檢查 dynamic_server 是否在執行

為了決定是否使用臨時辦法，請在 expert 模式下檢查 dynamic_server 程序是否在執行（公告給出了命令）。

檢查對外開放了哪些遠端存取功能

檢查是否啟用了 Mobile Access、Remote Access VPN 或任何其他可從網際網路存取的功能。如果對外開放，它可能就是攻擊鏈的入口。

今天該做什麼

將 Jumbo Hotfix 更新到修復的 Take 或更高版本（最優先）

R82.20：Take 14，R82.10：Take 52，R82：Take 132，R81.20：Take 174 或更高。這包括 Management Server、Log Server 和 Maestro Orchestrator。KEV 期限為 11月16日。如果需要重啟或叢集故障轉移，請先對照公告和您的執行手冊確認，再繼續。

在無法更新的裝置上套用臨時辦法

公告介紹瞭如何停止 dynamic_server，並使其在重啟後不再啟動（在 expert 模式下的 dbset 設定）。停止期間，sk144112 中列出的 Dynamic CLI 命令會失敗，因此請先檢查是否有運維操作（例如自動化）依賴它們。更新之後，可以按公告的步驟重新啟用。

檢查 Mobile Access 及其他遠端存取功能的暴露情況和修復

Check Point 的研究報告稱，在真實攻擊中，入口是 Mobile Access 門戶的另一個漏洞（PHP2Shell：CVE-2026-109618 和 CVE-2026-109619）。Check Point 的官方部落格建議安裝 11月的 Jumbo Hotfix，並稱 PHP2Shell 的修復（10月23日起可用的熱修復）已包含在其中。該漏洞的修復 Take 來自 sk1000362（見上表），而不是部落格。請先更新面向網際網路的 Mobile Access，並關閉您不使用的對外功能。PHP 方面的內容見兩個嚴重的 PHP 漏洞與緊急修復版本。

檢查是否有被攻陷的跡象

Check Point 的公告稱，dynamic_server 會將其收到的命令記錄到 /var/log/dynamicCli.log，並說明了如何搜尋該日誌（使用公告中的 grep 條件）。需要檢視的要點：收到的命令中是否有不具備通常 Clish 形式（公告給出的字首字串）的，以及是否有來自未授權 UID 的連線被拒絕的記錄（這類記錄在修復後才會出現；意外的 UID，例如 99「nobody」，表示提權嘗試被阻止；請與門戶、Web 和認證日誌關聯，以找到入口）。

對於 PHP2Shell，Check Point 的官方部落格列出了一些痕跡，例如 Mobile Access 臨時目錄中的工作階段檔案、名稱偽裝成 Check Point 元件的程序和檔案、/tmp 下的掃描或擦除工具，以及防火牆流量日誌中無法解釋的空檔。部落格稱，沒有匹配並不能排除被攻陷，而有匹配則需要立即調查。詳細的指標請見 Check Point Research 的文章。

如果懷疑已被攻陷，不要只停留在裝置上

Check Point 的研究報告了這樣的案例：獲得 root 之後，攻擊者從裝置上掃描內部資產，轉移到虛擬化主機（VMware ESXi）並銷燬資料。如果您在某台裝置上發現跡象，請一併完成：輪換裝置的憑證和服務帳號金鑰、檢查內部主機（尤其是虛擬化主機）上的日誌，並確認備份是隔離的（如何檢查是否遭到入侵、備份與恢復要點、SSH 金鑰的最小權限）。

利用情況

Check Point 的公告稱，觀察到針對「幾十家」客戶的主動利用。其官方部落格稱，被攻陷的裝置是未打補丁的，且集中在單一地區。
Check Point 的官方部落格稱，在 10月30日至 11月4日期間觀察到了利用。Check Point Research 報告稱，10月30日的第一波攻擊中，對部分目標有破壞性活動；11月2日的第二波攻擊涉及多個國家和行業，未觀察到破壞。
攻擊鏈：Check Point Research 報告稱，攻擊者透過 Mobile Access 門戶上的 PHP2Shell 進入，然後利用該漏洞從門戶的服務帳號提升到 root。獲得 root 之後，被放置了 Web shell、持久後門和內部掃描器，在某些情況下還在虛擬化主機上執行了擦除器。
CISA 於 2026年11月13日將其列入 KEV，期限為 11月16日（KEV 版本 2026.11.13）。KEV 中的名稱是「Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability」。
KEV 將勒索軟體使用情況列為 Unknown，Forensic Triage 列為 Yes。
CVE 記錄中包含 CISA 的評估（利用：active，可自動化：no，技術影響：total）。
本站不涉及歸因或動機，也不點出受影響的組織。

同時公布的相關漏洞

Check Point 的官方部落格以表格形式列出了同一時期的修復（未給出 Jumbo 的 Take 編號）。

CVE	說明	CVSS	已被利用
CVE-2026-123039	Gaia OS Dynamic CLI 中的本地提權（本文）	7.8	是
CVE-2026-109618、CVE-2026-109619	PHP2Shell：透過 Mobile Access 等 Web 介面實現的未經認證的遠端程式碼執行	9.2	是（已列入 CISA KEV）
CVE-2026-107484	Gaia Portal 後端處理程式中經過認證使用者的權限提升	7.3	否
CVE-2026-120490	透過 NAT 規則繞過管理端到閘道器的權限邊界	3.8	否

對於 PHP2Shell，部落格給出的受影響範圍是 Security Gateway（Mobile Access 門戶）的所有 R80 至 R82.20 版本以及部分 Spark Firewalls。
「已被利用」一欄反映的是部落格發布時（11月12日）的情況。

資訊來源

Check Point — sk1000362 (CVE-2026-123039)（受影響產品和版本、修復 Take、臨時辦法、檢查方法、關於被利用的說明）
Check Point — Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation（2026年11月12日；相關 CVE、11月的 Jumbo Hotfix、檢查要點）
Check Point Research — PHP2Shell Exploitation on Check Point Gateway（時間線和攻擊鏈）
CVE.org — CVE-2026-123039（2026年11月12日發布；含 CISA 的列入資訊）
NVD — CVE-2026-123039
CISA KEV — Known Exploited Vulnerabilities Catalog（11月13日列入，期限 11月16日）
BleepingComputer — Check Point warns of zero-day flaw exploited for root access（媒體報道，已與上述一手來源交叉核對）

除公告中給出的設定名稱和日誌位置外，本文不包含攻擊步驟。最後確認：2026年11月14日。

FAQ

QCVE-2026-123039 是什麼？

這是 Check Point 的 Gaia OS 中的本地提權漏洞。據 Check Point 的公告（sk1000362），以 root 身份執行的 dynamic_server 監聽一個所有人可寫（0777）的本地套接字，不對連線的程序進行認證，並以 root 身份執行其收到的命令字串。能夠在裝置上執行程式碼的經過認證的本地使用者可以獲得 root。CVSS v3.1 為 7.8（高危）。

Q哪些產品和版本受影響，修復方式是什麼？

公告列出了 Check Point 的 Force Firewalls、Management 和 Log Servers、Multi-Domain Security Management 和 Multi-Domain Log Server，以及 Maestro Orchestrator，版本為 R82.20、R82.10、R82、R81.20、R81.10 和 R81。修復方式是 Jumbo Hotfix Accumulator：R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174 或更高版本。R81.10 和 R81 均已標為終止支援（EOS），未列出修復 Take。Spark Firewalls 和 Smart-1 Cloud 不受影響。

Q可以被遠端攻擊嗎？

該漏洞本身是本地提權，需要事先在裝置上取得程式碼執行能力（CVSS 向量中的 AV:L）。不過，Check Point 的研究報告了真實攻擊：入侵者先透過 Mobile Access 門戶的另一個漏洞（PHP2Shell）進入裝置，然後利用該漏洞成為 root。如果從外部還有其他入口，攻擊路徑可以從遠端進入一直到 root。

Q暫時無法安裝修復，有臨時辦法嗎？

有。公告介紹了停止 dynamic_server 程序並阻止其重新啟動的辦法（在 expert 模式下使用 dbset 命令；步驟見公告）。停止期間，sk144112 中列出的 Dynamic CLI 命令會失敗。公告也給出了重新啟用的步驟。

Q是否已經被利用？

是。Check Point 稱觀察到針對幾十家客戶的主動利用。CISA 於 2026年11月13日將其列入 KEV（期限 11月16日）。KEV 將勒索軟體使用情況列為 Unknown，Forensic Triage 列為 Yes。

Q如何檢查裝置是否被攻陷？

Check Point 的公告介紹瞭如何檢查 /var/log/dynamicCli.log，dynamic_server 會在其中記錄其收到的命令。請查詢不符合預期 Clish 形式的命令，以及來自意外 UID 的連線被拒絕的記錄。結果為空並不能證明沒有被攻陷，因此請結合下面的檢查一起進行。