Check Point bracht spoedpatches uit voor een zero-day kwetsbaarheid die sinds oktober wordt misbruikt voor roottoegang en persistente aanvallen.
Check Point Software heeft spoedhotfixes uitgebracht voor een ernstige zero-day kwetsbaarheid die sinds eind oktober actief wordt misbruikt om rootrechten te verkrijgen en persistente toegang te vestigen op kwetsbare systemen. De kwetsbaarheid, geregistreerd als CVE-2026-123039, betreft een lokale privilege-escalatie in de DynamicCLI IPC-interface van het Gaia OS DynamicCLI-daemon (dynamic_server), dat als root draait.
Volgens de security advisory van Check Point luistert de daemon op een wereldwijde schrijfbare lokale socket (/tmp/dynamic_socket) zonder authenticatie van verbindingen. Een geauthenticeerde lokale gebruiker kan via deze socket commando's uitvoeren met rootrechten. Verschillende Check Point-producten zijn kwetsbaar, waaronder Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway en Security Management Server.
In aanvallen werd eerst toegang verkregen tot het Mobile Access-portaal via de PHP2Shell-kwetsbaarheid, waarna met de zero-day exploit CVE-2026-123039 rootrechten werden verkregen. Vervolgens plaatsten de aanvallers webshells en installeerden zij de TSGA backdoor en TSProxy malware, eerder gezien bij aanvallen op Ivanti-apparatuur. Vanuit de gecompromitteerde gateway werd vervolgens een VMware ESXi-host aangevallen en werd destructieve wiper malware ingezet.
Check Point adviseert teams die de hotfixes niet direct kunnen toepassen om tijdelijk het dynamic_server-proces te stoppen en te voorkomen dat het opnieuw start. Daarnaast zijn indicatoren van compromittering (IOCs) beschikbaar om verdachte activiteiten te detecteren, zoals ongebruikelijke systeemcommando's en het gebruik van de system() functie buiten de standaard Clish-wrapper.
Deze zero-day kwetsbaarheid is de nieuwste in een reeks van Check Point-flaws die de afgelopen jaren werden misbruikt. Zo waarschuwde Check Point in september al voor kritieke remote code execution kwetsbaarheden in de Security Management Server en Security Gateway. De Amerikaanse CISA heeft inmiddels vijf Check Point-kwetsbaarheden opgenomen in haar lijst van actief misbruikte kwetsbaarheden, waarvan twee ook door ransomwaregroepen worden ingezet, zie deze catalogus.
