Check Point випустила екстрені виправлення для уразливості з доступом root

Компанія Check Point Software випустила екстрені виправлення для уразливості високого рівня небезпеки CVE-2026-123039, яку з кінця жовтня використовували в атаках проти вразливих пристроїв. Як повідомляє BleepingComputer, експлуатація помилки давала зловмисникам змогу отримати привілеї root і закріпитися в системі.

Як працює уразливість

Проблему виявили в інтерфейсі міжпроцесної взаємодії DynamicCLI IPC, через який надсилаються привілейовані команди до демона DynamicCLI операційної системи Gaia OS. За даними Check Point, цей демон працює з правами root і приймає з’єднання через локальний сокет, доступний для запису всім користувачам, без автентифікації процесів, що підключаються.

Компанія заявила, що зафіксувала активну експлуатацію вразливості проти кількох десятків клієнтів. Автентифікований локальний користувач міг надіслати команду до сокета, після чого вона виконувалася з правами root.

Уражені продукти та рекомендації

Ризику піддавалися продукти Check Point, зокрема Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway і Security Management Server. Тим, хто не може одразу встановити виправлення, компанія рекомендувала тимчасово зупинити процес dynamic server і не допустити його повторного запуску.

У окремому звіті Check Point зазначила, що в одній з атак зловмисники спершу отримали доступ до порталу Mobile Access через уразливість PHP2Shell, а потім підвищили привілеї за допомогою CVE-2026-123039. Після цього, за даними компанії, вони розмістили вебшелли, встановили бекдор TSGA та шкідливе ПЗ TSProxy, перейшли з ураженого шлюзу на хост VMware ESXi й розгорнули руйнівне програмне забезпечення типу wiper.

Check Point також оприлюднила індикатори компрометації. Серед ознак можливого зламу — команди, пов’язані зі спробами експлуатації, використання виклику system(), нетипового для легітимного трафіку, а також команди без стандартної оболонки Clish.