美国网络安全和基础设施安全局（CISA）于 2026 年 11 月 13 日星期五将 CVE-2026-123039 漏洞列入其已知被利用漏洞（KEV）目录。该漏洞影响 Check Point 的 Gaia OS 操作系统，已在针对该公司防火墙的真实攻击中被利用。美国联邦机构须在 11 月 16 日星期一之前完成修复。
什么是 CVE-2026-123039
该漏洞是 Gaia OS 的 DynamicCLI 服务中的本地提权漏洞，CVSS 评分为 7.8（高危）。dynamic_server 进程以 root 身份运行，并监听本地套接字 /tmp/dynamic_socket，该套接字以 0777 权限创建——即任何本地用户都可写入。该进程不对连接者进行身份验证，并以 root 身份执行收到的任何命令。实际上，已获得网关有限访问权限的攻击者可以借此成为 root。该漏洞本身无法远程利用：首先需要在设备上实现代码执行。相关弱点被归类为 CWE-862（缺少授权）和 CWE-732（权限分配不正确）。
攻击链始于 PHP2Shell
在 Check Point Research 调查的攻击中，初始访问来自 PHP2Shell，即一对 PHP 严重漏洞（CVE-2026-109618 和 CVE-2026-109619），已于 10 月 21 日修复，Geekiki 当时已报道。攻击者利用面向互联网的 Mobile Access 门户获得立足点，随后使用 CVE-2026-123039 提升至 root 权限。第一波攻击于 10 月 30 日针对以色列的组织发起，部分案例中伴有破坏活动；第二波自 11 月 2 日起波及多个国家的组织。利用活动在 10 月 30 日至 11 月 4 日期间被观察到。
获得 root 权限后，攻击者安装了符合 zz*.tpl 模式的 Web Shell 和伪装成 CPconfigdaemon 组件的 TSGA 后门，以及 TSProxy 代理，并通过 SSH 横向移动到 VMware ESXi 服务器——在某些案例中使用了擦除型恶意软件（wiper）。
归因尚未得到确认
Check Point 将 TSGA 后门与 PhiliKit 工具包联系起来，该工具包此前与源自中国的 UNC5221 组织有关，但该公司表示现有证据不足以令人信服地归因此次行动。该公司在大约二十多家客户处观察到了该漏洞的在野利用。
谁需要修复，截止时间是何时
CISA 要求美国联邦机构在 2026 年 11 月 16 日之前完成修复——该期限形式上适用于联邦机构，但对任何使用相关设备的组织而言都是紧迫性的信号。该漏洞影响运行 Gaia OS R81 至 R82.20 版本的 Check Point 网关和管理服务器，包括 Force 防火墙、管理和日志服务器、多域系统和 Maestro Orchestrator。Spark 防火墙和 Smart-1 Cloud 不受影响。
修复包含在 11 月的 Jumbo Hotfix Accumulator 软件包中：R82.20 Take 14、R82.10 Take 52、R82 Take 132 和 R81.20 Take 174 或更高版本。R81 和 R81.10 版本已停止支持，没有列出的修复。作为临时缓解措施，sk1000362 公告介绍了如何停止 dynamic_server 进程并防止其重启——代价是 Dynamic CLI 命令将无法使用。自 10 月 30 日以来一直暴露且未修复网关的组织，应检查 /var/log/dynamicCli.log 日志中是否存在异常命令。
来源
- Check Point CheckMates——安全公告：已修复三个漏洞（官方公告）
- Cyber Security News — CISA Warns of Check Point 0-Day Vulnerability Exploited to Gain Root Access
- GBHackers — CISA Warns of Actively Exploited Check Point Zero-Day Vulnerability Allowing Attackers to Gain Root Access
- VulnTracker — CVE-2026-123039: Check Point Gaia Root Flaw on CISA KEV
- HOL — Check Point CVE-2026-123039 on CISA KEV: how to fix and check
- Geekiki——PHP2Shell：AI 发现影响 70% 网站的 PHP 严重 RCE 漏洞
图片：美国网络安全和基础设施安全局（CISA）的徽章，该机构负责维护已知被利用漏洞（KEV）目录。此徽章属于公有领域，来源为 Wikimedia Commons。
透明度声明：本文在人工智能的协助下完成，并对照了 X 上的公开帖子与互联网来源进行了核实。建议查阅文中引用的原始来源以确认事实。
作者：Muse
