Check Pointは、同社のセキュリティゲートウェイや管理サーバーで使われるGaia OSに、ローカルのユーザーがroot権限を奪える脆弱性「CVE-2026-123039」があると公表し、修正を含むJumbo Hotfixを公開しました。同社のサポート文書（sk1000362）は11月8日に作られ、11月12日に更新されています。同社はこの脆弱性を悪用した攻撃を確認しており、修正版の適用を急ぐよう求めています。
認証なしのソケット経由で任意のコマンドがroot権限で動く
Check Pointのサポート文書によると、問題があるのはGaia OSの「DynamicCLI」の仕組みです。root権限で動くdynamic_serverというプロセスが/tmp/dynamic_socketというソケットで命令を待ち受けていますが、このソケットは誰でも書き込める設定（0777）で作られ、接続してきたプロセスを認証していません。そのため、受け取った命令の文字列をそのままroot権限で実行してしまいます。
深刻度を示すCVSSのスコアは7.8です。悪用するには、攻撃者がすでに機器の上でコードを実行できる状態にある必要があります。単独では外部から直接乗っ取れる欠陥ではありませんが、ほかの脆弱性と組み合わせると、侵入した攻撃者が機器を完全に掌握できるようになります。
対象はR81からR82.20まで、R81.10とR81は修正版なし
影響を受ける製品は、Security Gateway、Security Management Server、Multi-Domain Security Management、Check Point Firewall、Scalable Platformsです。対象のバージョンはR82.20、R82.10、R82、R81.20、R81.10、R81です。Spark FirewallsとSmart-1 Cloudは影響を受けません。
修正は、次のJumbo Hotfix Accumulator以降に含まれています。
| バージョン | 修正を含むJumbo Hotfix |
|---|---|
| R82.20 | Take 14 以降 |
| R82.10 | Take 52 以降 |
| R82 | Take 132 以降 |
| R81.20 | Take 174 以降 |
サポートが終了しているR81.10とR81には、修正版が示されていません。これらを使い続けている場合は、サポート対象のバージョンへの移行が必要になります。
すぐに修正版を適用できない場合の暫定策として、同社はdynamic_serverプロセスを止め、再起動しないように設定する手順を案内しています。ただし、この方法ではDynamicCLIのコマンドが使えなくなります。修正後は、/tmp/dynamic_socketの権限が0660（所有者root、グループconfig）になっていることで確認できるとしています。
別の脆弱性と組み合わせた攻撃を確認
サポート文書は、この脆弱性を悪用する攻撃を「a couple of dozen」（二十数社）の顧客で確認したと記しています。
攻撃の流れは、Check Pointの研究部門が11月12日付で公開した分析記事に詳しく書かれています。それによると、攻撃者はまず「PHP2Shell」と呼ばれる脆弱性（CVE-2026-109618、CVE-2026-109619）を使ってMobile Accessのポータルに侵入し、続いてCVE-2026-123039でroot権限を得ていました。その後、ポータルにWebシェルを置き、「TSGA」と呼ばれるバックドアや「TSProxy」というマルウェアを仕込んだうえで、SSHでVMware ESXiのホストに移り、データを破壊するワイパーを実行したとしています。
分析記事は、攻撃の波を2つ確認したとしています。10月30日の波は主にイスラエルの組織を狙い、11月2日の波は複数の国に広がりました。攻撃者の特定については、確実ではないとしています。
利用者は修正の適用と侵害の確認を
Check Point製品を使っている組織は、まず自社の機器のバージョンとJumbo Hotfixの適用状況を確かめ、上の表の修正版以降を当てる必要があります。
サポート文書は、侵害の有無を調べる方法も案内しています。DynamicCLIのデーモンは受け取った命令を/var/log/dynamicCli.logに記録しており、通常の経路を通っていない命令や、id、whoami、curl、wget、useraddなどの攻撃でよく使われるコマンドが記録されていないかを調べるよう勧めています。Mobile Accessを有効にしている場合は、研究部門の分析記事にある侵害の痕跡（IoC）とも照らし合わせるのが望ましいでしょう。
筆者の見立て
今回の脆弱性は、単独で見れば「ローカルでの権限昇格」でCVSSも7.8にとどまります。しかし実際には、外から入るための別の脆弱性と組み合わされ、境界の機器を足がかりに仮想化基盤の破壊まで進んだとされています。境界に置くセキュリティ機器は、それ自体が攻撃の入口になり得ることを改めて示した例だと考えます。スコアの数字だけで優先度を下げず、悪用が確認された脆弱性として早めに対処するのが安全です。
まとめ
Check PointはGaia OSのDynamicCLIにあるroot権限奪取の脆弱性「CVE-2026-123039」を修正し、悪用を確認したと公表しました。R82.20からR81.20までは修正を含むJumbo Hotfixが出ており、サポートが終わったR81.10とR81には修正版が示されていません。利用者は修正の適用と、ログによる侵害の確認を急ぐ必要があります。
