Check Point 公布其安全閘道與管理伺服器所用的 Gaia OS 存在一項漏洞「CVE-2026-123039」，可讓本機使用者取得 root 權限，並已釋出包含修補的 Jumbo Hotfix。Check Point 的支援文件（sk1000362）於 11 月 8 日建立、11 月 12 日更新。Check Point 表示已觀察到利用此漏洞的攻擊，呼籲使用者盡快更新。
未經驗證的 Socket 可讓任意指令以 root 權限執行
根據 Check Point 的支援文件，問題出在 Gaia OS 的「DynamicCLI」機制。以 root 權限執行的 dynamic_server 程序透過 /tmp/dynamic_socket 這個 Socket 接收指令，但該 Socket 以任何人都可寫入的權限（0777）建立，且不會驗證連線的程序，因此收到的指令字串會直接以 root 權限執行。
此漏洞的 CVSS 分數為 7.8。要利用此漏洞，攻擊者必須已能在設備上執行程式碼。單獨來看，它並非可讓人從外部直接接管設備的漏洞，但若與其他漏洞結合，入侵者便能完全掌控設備。
影響 R81 至 R82.20，R81.10 與 R81 無修補版本
受影響的產品為 Security Gateway、Security Management Server、Multi-Domain Security Management、Check Point Firewall 與 Scalable Platforms。受影響的版本為 R82.20、R82.10、R82、R81.20、R81.10 與 R81。Spark Firewalls 與 Smart-1 Cloud 不受影響。
修補內容包含在下列 Jumbo Hotfix Accumulator 及其後的版本中。
| 版本 | 包含修補的 Jumbo Hotfix |
|---|---|
| R82.20 | Take 14 以後 |
| R82.10 | Take 52 以後 |
| R82 | Take 132 以後 |
| R81.20 | Take 174 以後 |
已終止支援的 R81.10 與 R81 未列出修補版本。仍在使用這些版本的組織，需要移轉至仍受支援的版本。
對於無法立即套用修補的使用者，Check Point 提供了暫時因應措施：停止 dynamic_server 程序，並設定使其不再自動重新啟動。不過，這麼做會使 DynamicCLI 的指令無法使用。套用修補後，可確認 /tmp/dynamic_socket 的權限是否為 0660（擁有者 root、群組 config）。
已發現結合其他漏洞的攻擊
支援文件指出，Check Point 已在「a couple of dozen」（二十多家）客戶身上觀察到利用此漏洞的攻擊。
Check Point 研究部門於 11 月 12 日發布的分析文章詳細說明了攻擊流程。根據該文章，攻擊者先利用名為「PHP2Shell」的漏洞（CVE-2026-109618、CVE-2026-109619）入侵 Mobile Access 入口網站，接著透過 CVE-2026-123039 取得 root 權限。之後，攻擊者在入口網站植入 Web Shell，安裝名為「TSGA」的後門與「TSProxy」惡意軟體，再透過 SSH 轉移到 VMware ESXi 主機，執行會破壞資料的抹除程式（Wiper）。
分析文章指出共觀察到兩波攻擊。10 月 30 日的攻擊主要針對以色列的組織，11 月 2 日的攻擊則擴及多個國家。對於攻擊者的身分，文章表示仍無法確定。
使用者應套用修補並檢查是否遭入侵
使用 Check Point 產品的組織，應先確認自家設備的版本與 Jumbo Hotfix 套用狀況，並更新至上表所列的修補版本或更新版本。
支援文件也說明了檢查是否遭入侵的方法。DynamicCLI 的常駐程式會將收到的指令記錄在 /var/log/dynamicCli.log，Check Point 建議檢查其中是否有未經正常途徑送出的指令，以及 id、whoami、curl、wget、useradd 等攻擊中常用的指令。若有啟用 Mobile Access，也建議比對研究部門分析文章中列出的入侵指標（IoC）。
筆者觀點
單獨來看，這項漏洞屬於「本機權限提升」，CVSS 分數也僅為 7.8。但實際上，它與另一個可從外部入侵的漏洞結合，攻擊者據稱以邊界設備為跳板，一路破壞到虛擬化基礎架構。筆者認為，這再次顯示部署在網路邊界的安全設備本身也可能成為攻擊入口。與其只看分數而降低處理優先順序，不如將其視為已遭利用的漏洞及早處理，才是較安全的做法。
總結
Check Point 修補了 Gaia OS DynamicCLI 中可取得 root 權限的漏洞「CVE-2026-123039」，並表示已確認遭到利用。R82.20 至 R81.20 已有包含修補的 Jumbo Hotfix，已終止支援的 R81.10 與 R81 則未列出修補版本。使用者應盡快套用修補，並透過記錄檔確認是否遭到入侵。
