Check Point закрыл zero-day CVE-2026-123039: локальный пользователь становился root на шлюзах

Что случилось

12 ноября Check Point выпустила экстренные исправления для уязвимости CVE-2026-123039, которую использовали в атаках как минимум с конца октября. Ошибка позволяет локальному пользователю с действующей учётной записью получить права root на самом устройстве. Компания подтвердила, что наблюдала эксплуатацию в атаках на несколько десятков клиентов, и отнесла проблему к высокому уровню опасности.

Детали

Уязвимость находится в интерфейсе DynamicCLI, через который привилегированные команды передаются демону Gaia OS dynamic_server. Демон работает от root и слушает локальный сокет /tmp/dynamic_socket, открытый на запись всем процессам, при этом не проверяет, кто к нему подключился. Достаточно отправить в сокет команду — она выполнится с правами суперпользователя.

Под удар попали основные продукты вендора:

• Security Gateway и программный межсетевой экран;
• Security Management Server и Multi-Domain Security Management Server;
• аппаратные платформы Scalable Platforms.

Сама по себе ошибка — не точка входа, а этап атаки. По описанию Check Point, сначала злоумышленники попадали в портал Mobile Access через цепочку PHP2Shell, затем CVE-2026-123039 поднимала привилегии до root. После этого на устройство ставились веб-шеллы и бэкдоры TSGA и TSProxy — те же инструменты фиксировались при разборе атак на Ivanti, — а с захваченного шлюза атакующие переходили на хост VMware ESXi и запускали программу-уничтожитель.

Что делать администраторам

Устанавливать хотфиксы. Если обновление нельзя применить сразу, вендор предлагает остановить процесс dynamic_server и запретить его перезапуск: без демона сокет никто не обслуживает. Это именно временная мера на часы, а не замена исправлению, потому что она лишает устройство части штатного управления.

Признаки компрометации, на которые указывает компания:

• вызовы system() в журналах DynamicCLI, которых не бывает в нормальном потоке команд;
• команды, пришедшие в обход штатной оболочки Clish, — это и есть след работы через сокет;
• посторонние веб-шеллы на портале Mobile Access и подключения к хостам виртуализации от имени шлюза.

Что это значит

В сентябре Check Point уже закрывала две критические уязвимости удалённого выполнения кода — CVE-2026-93616 в Security Management Server и CVE-2026-85102 в Security Gateway, — и обе эксплуатировались как zero-day. За два года американское агентство по кибербезопасности CISA внесло в каталог эксплуатируемых уязвимостей пять проблем этого вендора, две из которых использовали группы шифровальщиков.

Практический вывод простой: пограничный экран — это обычный Linux-хост с локальными сокетами и демонами, и модель угроз для него не заканчивается на внешнем периметре. Если на устройстве есть учётные записи для мониторинга, подрядчиков или резервного доступа, любая локальная ошибка привилегий превращается в полный захват. Проверять нужно не только версии прошивок, но и то, кто и зачем вообще имеет вход на сам шлюз.