Check Point łata CVE-2026-123039 w Gaia OS, luka daje atakującym uprawnienia roota

Check Point wydał awaryjne poprawki (hotfixy) dla CVE-2026-123039, luki w Gaia OS wykorzystywanej od końca października do przejęcia uprawnień roota. Firma potwierdza aktywne ataki na dwudziestu kilku klientów. Błąd dotyczy interfejsu DynamicCLI IPC. Proces dynamic_server działa jako root i nasłuchuje na lokalnym gnieździe /tmp/dynamic_socket, do którego każdy może pisać. Proces nie sprawdza, kto się łączy, więc zalogowany lokalny użytkownik może wykonać polecenie z prawami roota. Według Check Point atakujący wchodzili przez portal Mobile Access, wykorzystując luki PHP2Shell. Po przejęciu roota instalowali webshelle, backdoor TSGA i malware TSProxy, a potem przechodzili na host VMware ESXi i uruchamiali niszczący wiper.

Kogo dotyczy

Luka dotyczy produktów Check Point: Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway i Security Management Server.

Co zrobić

Zainstalować hotfixy dla CVE-2026-123039. Jeśli nie da się tego zrobić od razu, Check Point zaleca zatrzymanie procesu dynamic_server i zablokowanie jego ponownego uruchomienia.