Check Point закрыла 0-day уязвимость с получением root-доступа, которую эксплуатировали с конца октября

Компания Check Point выпустила экстренные заплатки для опасной уязвимости CVE-2026-123039, которую злоумышленники активно эксплуатировали как минимум с конца октября для получения прав root и закрепления на взломанных устройствах. Проблема затрагивает корпоративные межсетевые экраны и серверы управления безопасностью.

Как устроена уязвимость

Дефект относится к классу локального повышения привилегий и находится в интерфейсе межпроцессного взаимодействия DynamicCLI. Через него отправляются привилегированные команды демону dynamic_server операционной системы Gaia OS, который работает от имени root.

Ключевая особенность проблемы в том, что демон слушает локальный сокет /tmp/dynamic_socket, доступный на запись любому процессу, и при этом не проверяет, кто к нему обращается. Аутентифицированный локальный пользователь может отправить команду в сокет, и она выполнится с правами root.

Кто под ударом

В списке уязвимых продуктов, по данным вендора:

• межсетевые экраны Firewall и Security Gateway;
• серверы управления Multi-Domain Security Management Server и Security Management Server;
• масштабируемые платформы Scalable Platforms.

Check Point сообщила, что зафиксировала реальные атаки с использованием этого бага «у пары десятков клиентов».

Цепочка атаки

В отдельном отчёте компания описала, как развивается вторжение. Сначала атакующие получали доступ к порталу Mobile Access через уязвимость PHP2Shell, затем с помощью CVE-2026-123039 повышали привилегии до root. После этого они:

1. размещали веб-шеллы на скомпрометированных устройствах;
2. устанавливали бэкдор TSGA и вредоносное ПО TSProxy, ранее замеченное в атаках на устройства Ivanti;
3. перемещались с взломанного шлюза на хост VMware ESXi и запускали разрушающий вирус-шифровальщик (wiper).

Что делать администраторам

Тем, кто не может немедленно установить заплатки, Check Point рекомендует остановить процесс dynamic_server и не допускать его перезапуска в качестве временной меры. Компания также опубликовала индикаторы компрометации и признаки, по которым можно выявить следы атаки: нехарактерные для легитимного трафика команды, использование функции system() и вызовы в обход стандартной оболочки Clish.

Это уже не первый случай за год: в сентябре Check Point предупреждала о двух других критических уязвимостях удалённого выполнения кода — CVE-2026-93616 в Security Management Server и CVE-2026-85102 в Security Gateway. По данным CISA, за два года в каталог активно эксплуатируемых уязвимостей попали пять дефектов Check Point, два из которых использовали группировки вымогателей.