Check Point 披露，其安全网关和管理服务器使用的 Gaia OS 存在漏洞“CVE-2026-123039”，本地用户可借此获取 root 权限，目前已发布含修复的 Jumbo Hotfix。Check Point 的支持文档（sk1000362）创建于 11 月 8 日，并于 11 月 12 日更新。Check Point 表示已发现利用该漏洞的攻击，并敦促用户尽快升级。
无身份验证的套接字可让任意命令以 root 权限运行
根据 Check Point 的支持文档，问题出在 Gaia OS 的“DynamicCLI”机制。以 root 权限运行的 dynamic_server 进程通过 /tmp/dynamic_socket 这一套接字接收命令，但该套接字创建时对所有人可写（0777），且不对连接的进程进行身份验证，因此收到的命令字符串会直接以 root 权限执行。
该漏洞的 CVSS 评分为 7.8。攻击者要利用它，必须已经能在设备上执行代码。单独来看，它并不能让人从外部直接接管设备，但与其他漏洞组合使用时，入侵者就能完全控制设备。
影响 R81 至 R82.20，R81.10 和 R81 没有修复版本
受影响的产品包括 Security Gateway、Security Management Server、Multi-Domain Security Management、Check Point Firewall 和 Scalable Platforms。受影响的版本为 R82.20、R82.10、R82、R81.20、R81.10 和 R81。Spark Firewalls 和 Smart-1 Cloud 不受影响。
修复已包含在以下 Jumbo Hotfix Accumulator 及之后的版本中。
| 版本 | 含修复的 Jumbo Hotfix |
|---|---|
| R82.20 | Take 14 及以后 |
| R82.10 | Take 52 及以后 |
| R82 | Take 132 及以后 |
| R81.20 | Take 174 及以后 |
已停止支持的 R81.10 和 R81 没有列出修复版本。仍在使用这些版本的机构需要迁移到仍受支持的版本。
对于无法立即安装修复的用户，Check Point 给出了临时缓解措施：停止 dynamic_server 进程，并设置为不再自动重启。不过，这样做会导致 DynamicCLI 的命令无法使用。安装修复后，可通过确认 /tmp/dynamic_socket 的权限是否为 0660（属主 root、属组 config）来检查。
已发现与其他漏洞组合的攻击
支持文档称，Check Point 已在“a couple of dozen”（二十多家）客户中发现利用该漏洞的攻击。
Check Point 研究部门于 11 月 12 日发布的分析文章详细介绍了攻击过程。据该文章，攻击者首先利用名为“PHP2Shell”的漏洞（CVE-2026-109618、CVE-2026-109619）入侵 Mobile Access 门户，再通过 CVE-2026-123039 获取 root 权限。此后，攻击者在门户中植入 Web Shell，安装名为“TSGA”的后门和“TSProxy”恶意软件，然后通过 SSH 转移到 VMware ESXi 主机，运行了破坏数据的擦除程序（Wiper）。
分析文章称共发现两波攻击。10 月 30 日的一波主要针对以色列的机构，11 月 2 日的一波则扩展到多个国家。关于攻击者的身份，文章表示尚不能确定。
用户应安装修复并排查是否已被入侵
使用 Check Point 产品的机构，应首先确认自己设备的版本和 Jumbo Hotfix 安装情况，并升级到上表所列的修复版本或更新的版本。
支持文档还介绍了排查入侵的方法。DynamicCLI 守护进程会把收到的命令记录在 /var/log/dynamicCli.log 中，Check Point 建议检查其中是否有未经正常途径发送的命令，以及 id、whoami、curl、wget、useradd 等攻击中常用的命令。启用了 Mobile Access 的用户，最好也对照研究部门分析文章中列出的入侵指标（IoC）进行排查。
笔者观点
单独来看，这个漏洞属于“本地提权”，CVSS 评分也只有 7.8。但实际上，它与另一个可从外部入侵的漏洞组合使用，据称攻击者以边界设备为跳板，一直破坏到了虚拟化基础设施。笔者认为，这再次表明部署在网络边界的安全设备本身也可能成为攻击入口。与其只看评分而推迟处理，不如将其视为已被利用的漏洞尽早应对，这样更为稳妥。
总结
Check Point 修复了 Gaia OS DynamicCLI 中可获取 root 权限的漏洞“CVE-2026-123039”，并表示已发现该漏洞被利用。R82.20 至 R81.20 已有含修复的 Jumbo Hotfix，而已停止支持的 R81.10 和 R81 没有列出修复版本。用户应尽快安装修复，并通过日志排查是否已被入侵。
