Check Point corrige un zero-day explotado para obtener acceso root

13 de noviembre de 2026. Check Point Software ha publicado hotfixes de emergencia para corregir CVE-2026-123039, una vulnerabilidad de escalada local de privilegios en la interfaz DynamicCLI IPC de Gaia OS. La compañía afirmó que el fallo estaba siendo explotado desde finales de octubre para obtener privilegios root y establecer persistencia en dispositivos vulnerables.

El demonio DynamicCLI (dynamic_server), que se ejecuta como root, escucha en un socket local con permisos de escritura para cualquier usuario en /tmp/dynamic_socket y no autentica a los procesos que se conectan. Un usuario local autenticado puede enviar comandos al socket para que se ejecuten con privilegios root.

Los productos afectados incluyen Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway y Security Management Server. Check Point indicó que había observado la explotación activa contra un par de docenas de clientes.

Según la empresa, los atacantes accedieron inicialmente al portal Mobile Access mediante las vulnerabilidades PHP2Shell y después elevaron privilegios utilizando CVE-2026-123039. A continuación instalaron webshells, la puerta trasera TSGA y el malware TSProxy. Desde la pasarela comprometida se desplazaron hacia un host VMware ESXi, donde desplegaron un malware limpiador destructivo.

Para los equipos que no puedan instalar de inmediato los hotfixes, Check Point recomienda detener el proceso dynamic_server e impedir que se reinicie como medida temporal. La compañía también proporcionó indicadores de compromiso y señaló varios indicios para investigar posibles intrusiones, entre ellos comandos asociados habitualmente a intentos de explotación, el uso del sink system() y órdenes ejecutadas sin el envoltorio Clish predeterminado.

Fuente: BleepingComputer.