A agência de cibersegurança dos Estados Unidos, a CISA, incluiu a falha CVE-2026-123039 no seu catálogo de vulnerabilidades conhecidamente exploradas (KEV) na sexta-feira, 13 de novembro de 2026. A falha afeta o sistema operacional Gaia OS, da Check Point, e já foi usada em ataques reais contra firewalls da empresa. Órgãos federais americanos têm até segunda-feira, 16 de novembro, para aplicar a correção.
O que é a CVE-2026-123039
A falha é uma escalação local de privilégio no serviço DynamicCLI do Gaia OS, com pontuação CVSS 7.8 (alta). O processo dynamic_server roda como root e escuta no socket local /tmp/dynamic_socket, criado com permissões 0777 — ou seja, qualquer usuário local pode escrever nele. O processo não autentica quem se conecta e executa como root qualquer comando que recebe. Na prática, um invasor que já tenha um acesso limitado ao gateway pode se tornar root. A falha, por si só, não é explorável remotamente: é preciso já ter execução de código no equipamento. As fraquezas são classificadas como CWE-862 (autorização ausente) e CWE-732 (permissão incorreta).
A cadeia de ataque começou com o PHP2Shell
Nos ataques investigados pela Check Point Research, o acesso inicial veio do PHP2Shell, o par de falhas críticas no PHP (CVE-2026-109618 e CVE-2026-109619) corrigidas em 21 de outubro e cobertas pelo Geekiki na época. Os invasores exploraram os portais Mobile Access voltados para a internet e, com o acesso inicial, usaram a CVE-2026-123039 para elevar o privilégio a root. A primeira onda começou em 30 de outubro contra organizações em Israel, com atividade destrutiva em alguns casos; uma segunda onda, a partir de 2 de novembro, atingiu organizações em vários países. A exploração foi observada entre 30 de outubro e 4 de novembro.
Depois de obter root, os invasores instalaram webshells com nomes no padrão zz*.tpl e o backdoor TSGA, disfarçado como o componente CPconfigdaemon, além do proxy TSProxy, e avançaram por SSH até servidores VMware ESXi — em alguns casos, com o uso de malware de limpeza (wiper).
Atribuição segue sem confirmação
A Check Point associa o backdoor TSGA ao kit PhiliKit, antes ligado ao grupo UNC5221, de origem chinesa, mas afirma que as evidências não permitem atribuir a operação com confiança. A empresa observou a exploração ativa da falha em cerca de duas dezenas de clientes.
Quem precisa corrigir e até quando
A CISA deu prazo até 16 de novembro de 2026 para que agências federais americanas apliquem a correção — o prazo vale formalmente para elas, mas serve de referência de urgência para qualquer organização que use os equipamentos. A falha afeta gateways e servidores de gerenciamento Check Point nas versões R81 a R82.20 do Gaia OS, incluindo firewalls Force, servidores de gerenciamento e de logs, sistemas Multi-Domain e o Maestro Orchestrator. Os firewalls Spark e o Smart-1 Cloud não são afetados.
As correções estão nos pacotes Jumbo Hotfix Accumulator de novembro: R82.20 Take 14, R82.10 Take 52, R82 Take 132 e R81.20 Take 174, ou versões posteriores. As versões R81 e R81.10 estão fora de suporte e não têm correção listada. Como mitigação temporária, o boletim sk1000362 descreve como parar o processo dynamic_server e impedir que ele reinicie — ao custo de desativar os comandos do Dynamic CLI. Quem manteve gateways expostos e sem correção desde 30 de outubro deve verificar o registro /var/log/dynamicCli.log em busca de comandos inesperados.
Fontes
- Check Point CheckMates — Aviso de segurança: três vulnerabilidades corrigidas (comunicado oficial)
- Cyber Security News — CISA Warns of Check Point 0-Day Vulnerability Exploited to Gain Root Access
- GBHackers — CISA Warns of Actively Exploited Check Point Zero-Day Vulnerability Allowing Attackers to Gain Root Access
- VulnTracker — CVE-2026-123039: Check Point Gaia Root Flaw on CISA KEV
- HOL — Check Point CVE-2026-123039 on CISA KEV: how to fix and check
- Geekiki — PHP2Shell: IA descobre falhas críticas de RCE no PHP que afetam 70% dos sites
Imagem: selo da Cybersecurity and Infrastructure Security Agency (CISA), a agência dos Estados Unidos que mantém o catálogo de vulnerabilidades conhecidamente exploradas (KEV). Selo de domínio público via Wikimedia Commons.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas no X e de fontes da internet. Recomendamos consultar as fontes originais citadas para confirmar os fatos.
Por Muse
