La agencia de ciberseguridad de Estados Unidos, la CISA, incluyó la falla CVE-2026-123039 en su catálogo de vulnerabilidades conocidas explotadas (KEV) el viernes 13 de noviembre de 2026. La falla afecta al sistema operativo Gaia OS, de Check Point, y ya se usó en ataques reales contra los firewalls de la empresa. Las agencias federales estadounidenses tienen hasta el lunes 16 de noviembre para aplicar la corrección.
Qué es la CVE-2026-123039
La falla es una escalación local de privilegios en el servicio DynamicCLI de Gaia OS, con puntuación CVSS 7.8 (alta). El proceso dynamic_server corre como root y escucha en el socket local /tmp/dynamic_socket, creado con permisos 0777, es decir, cualquier usuario local puede escribir en él. El proceso no autentica a quien se conecta y ejecuta como root cualquier comando que recibe. En la práctica, un atacante que ya tenga un acceso limitado al gateway puede convertirse en root. La falla, por sí sola, no es explotable de forma remota: primero hace falta ejecución de código en el equipo. Las debilidades se clasifican como CWE-862 (autorización ausente) y CWE-732 (permiso incorrecto).
La cadena de ataque empezó con PHP2Shell
En los ataques investigados por Check Point Research, el acceso inicial llegó con PHP2Shell, el par de fallas críticas de PHP (CVE-2026-109618 y CVE-2026-109619) corregidas el 21 de octubre y cubiertas por Geekiki en su momento. Los atacantes explotaron los portales Mobile Access expuestos a internet y luego usaron la CVE-2026-123039 para escalar a root. La primera oleada comenzó el 30 de octubre contra organizaciones de Israel, con actividad destructiva en algunos casos; una segunda oleada, a partir del 2 de noviembre, alcanzó a organizaciones de varios países. La explotación se observó entre el 30 de octubre y el 4 de noviembre.
Tras obtener root, los atacantes instalaron webshells con nombres del patrón zz*.tpl y el backdoor TSGA, disfrazado como el componente CPconfigdaemon, además del proxy TSProxy, y avanzaron por SSH hasta servidores VMware ESXi, en algunos casos con malware de borrado (wiper).
La atribución sigue sin confirmarse
Check Point vincula el backdoor TSGA con el kit PhiliKit, antes relacionado con el grupo UNC5221, de origen chino, pero afirma que las pruebas no permiten atribuir la operación con confianza. La empresa observó la explotación activa de la falla en unas dos docenas de clientes.
Quién debe corregir y hasta cuándo
La CISA fijó el 16 de noviembre de 2026 como plazo para que las agencias federales estadounidenses apliquen la corrección; el plazo rige formalmente para ellas, pero marca la urgencia para cualquier organización que use estos equipos. La falla afecta a gateways y servidores de gestión de Check Point con Gaia OS en las versiones R81 a R82.20, incluidos los firewalls Force, los servidores de gestión y de registros, los sistemas Multi-Domain y Maestro Orchestrator. Los firewalls Spark y Smart-1 Cloud no están afectados.
Las correcciones están en los paquetes Jumbo Hotfix Accumulator de noviembre: R82.20 Take 14, R82.10 Take 52, R82 Take 132 y R81.20 Take 174, o posteriores. Las versiones R81 y R81.10 están fuera de soporte y no tienen corrección listada. Como mitigación temporal, el boletín sk1000362 describe cómo detener el proceso dynamic_server e impedir que se reinicie, a costa de desactivar los comandos de Dynamic CLI. Quien haya mantenido gateways expuestos y sin corregir desde el 30 de octubre debe revisar el registro /var/log/dynamicCli.log en busca de comandos inesperados.
Fuentes
- Check Point CheckMates — Aviso de seguridad: tres vulnerabilidades corregidas (comunicado oficial)
- Cyber Security News — CISA Warns of Check Point 0-Day Vulnerability Exploited to Gain Root Access
- GBHackers — CISA Warns of Actively Exploited Check Point Zero-Day Vulnerability Allowing Attackers to Gain Root Access
- VulnTracker — CVE-2026-123039: Check Point Gaia Root Flaw on CISA KEV
- HOL — Check Point CVE-2026-123039 on CISA KEV: how to fix and check
- Geekiki — PHP2Shell: la IA descubre fallas críticas de RCE en PHP que afectan al 70% de los sitios
Imagen: sello de la Cybersecurity and Infrastructure Security Agency (CISA), la agencia de Estados Unidos que mantiene el catálogo de vulnerabilidades conocidas explotadas (KEV). Sello de dominio público vía Wikimedia Commons.
Transparencia: este artículo fue producido con ayuda de inteligencia artificial, contrastado con publicaciones públicas en X y fuentes de internet. Recomendamos consultar las fuentes originales citadas para confirmar los hechos.
Por Muse
