CVE-2026-123039: falha no Check Point dá root e é explorada

A Check Point confirmou que uma falha de elevação de privilégio no seu sistema operacional Gaia, identificada como CVE-2026-123039, está sendo explorada em ataques reais contra “algumas dezenas” de clientes. A empresa publicou correções de emergência e, em 13 de novembro de 2026, a agência norte-americana CISA incluiu a vulnerabilidade no catálogo de falhas exploradas com um prazo de correção atipicamente curto: 16 de novembro.

A CVE-2026-123039 sozinha não dá acesso remoto — ela exige que o atacante já consiga executar código no equipamento. O problema é que, nos ataques observados, esse pré-requisito foi obtido por outra via: as falhas do PHP conhecidas como PHP2Shell (CVE-2026-109618 e CVE-2026-109619), usadas contra o portal Mobile Access dos gateways. Encadeadas, as duas levam de um acesso não autenticado na web até root no firewall.

Na investigação divulgada em 12 de novembro, a equipe de pesquisa da Check Point descreve o que os atacantes fizeram depois: instalaram implantes persistentes, varreram a rede interna, pularam para um servidor VMware ESXi e executaram um programa de destruição de dados. É a combinação que mais preocupa — não a nota 7,8 da falha isolada.

O que é a CVE-2026-123039

O Gaia OS, que roda nos equipamentos da Check Point, tem um serviço chamado DynamicCLI. Ele existe para que processos do próprio appliance peçam a execução de comandos administrativos sem passar pela linha de comando tradicional. O daemon responsável, dynamic_server, roda como root e escuta em um socket local em /tmp/dynamic_socket.

O defeito está em duas decisões somadas: esse socket foi criado com permissão de escrita para qualquer usuário do sistema (modo 0777) e o daemon não verificava quem estava do outro lado da conexão. Resultado: qualquer usuário local autenticado podia enviar um comando pelo socket e vê-lo executado com privilégio de root. É o padrão catalogado como CWE-732 (atribuição incorreta de permissões a recurso crítico); o registro da CISA acrescenta CWE-862, ausência de verificação de autorização.

A pontuação CVSS 3.1 atribuída pela Check Point é 7,8 (alta), com vetor AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H. O “AV:L” é a parte que importa para dimensionar o risco: o ataque é local, ou seja, depende de um acesso prévio. Em um firewall de borda, porém, “acesso prévio” é exatamente o que uma falha de execução remota no portal web entrega.

Versões afetadas e correções

O aviso oficial (sk1000362, criado em 8 de novembro e atualizado em 12 de novembro) lista como afetados os Force Firewalls, os servidores de gerenciamento e de log, o Multi-Domain Security Management e o Multi-Domain Log Server, além do Maestro Orchestrator. Os Spark Firewalls e o Smart-1 Cloud não são afetados.

Quem ainda opera R81 ou R81.10 não tem patch disponível e precisa tratar o caso como migração urgente, não como atualização de rotina.

A cadeia de ataque observada

A pesquisa da Check Point registra duas ondas. Na primeira, em 30 de outubro de 2026, o alvo foram organizações israelenses, e parte delas sofreu destruição de dados. Na segunda, em 2 de novembro, os atacantes voltaram a vítimas da primeira onda e ampliaram o alcance para organizações de vários países e setores, sem atividade destrutiva registrada. A varredura se concentrou entre 00h e 09h UTC. A correção do PHP2Shell já estava disponível cerca de uma semana antes da primeira onda.

O TSGA é um implante Linux depositado como /tmp/CPconfigdaemon que, ao rodar como root, se copia para o diretório de persistência de boot. Ele oferece acesso remoto cifrado, roubo de configuração, sobrevivência a backups e snapshots, injeção em processos e adulteração dos logs do firewall; escuta na porta TCP 11072 e usa o socket Unix /tmp/.p_sock. O TSProxy é gravado em /lib/libcpfwcommon.so e intercepta funções de rede para oferecer um túnel cifrado no estilo SOCKS. O destroy_v6, por padrão, sobrescreve arquivos com zeros antes de removê-los, recursivamente e sem filtrar extensão, e deixa em cada diretório uma nota chamada DREAM_ANNEXATION.txt que recusa negociação de resgate — ou seja, não é ransomware, é sabotagem.

Sobre a atribuição, o que se sabe e o que não se sabe

Aqui é necessário separar o que foi medido do que é hipótese. TSGA e TSProxy são variantes modificadas de um conjunto de ferramentas que a ESET documentou como PhiliKit em ataques contra appliances da Ivanti, e a ESET associou o PhiliKit ao grupo UNC5221, de nexo chinês. A Check Point observa reaproveitamento de configuração, credenciais e material TLS entre as amostras, e a infraestrutura usada ficava hospedada em um provedor de VPS historicamente ligado a atividade do mesmo nexo.

Mesmo assim, a própria Check Point afirma não ter confiança alta na natureza da operação. Três pontos não se encaixam no perfil conhecido do UNC5221: a destruição de dados, o foco inicial em Israel com uma nota em hebraico e o uso da marca de uma empresa de segurança que havia publicado pesquisa sobre PHP2Shell em outro fabricante. Os cenários levantados incluem um único ator fazendo tudo, um corretor de acesso inicial revendendo o acesso, uma operação de bandeira falsa e a destruição servindo de cortina de fumaça. Nenhum deles está confirmado.

Impacto, limitações e o que observar

O impacto prático é desproporcional ao tipo de falha. Um firewall comprometido com root não é apenas mais uma máquina invadida: ele guarda regras, chaves, certificados e credenciais de VPN, e tem rota para praticamente tudo. A capacidade do TSGA de adulterar logs e sobreviver a snapshots significa que restaurar backup pode não limpar o ambiente e que a própria trilha de auditoria do equipamento perde valor como prova.

Por outro lado, há limites reais no alcance. A CVE-2026-123039 não é explorável diretamente da internet, e o número de vítimas relatado pela Check Point é da ordem de dezenas, não de milhares. Quem já aplicou a correção do PHP2Shell e não expõe o portal Mobile Access está em situação bem diferente de quem mantém o portal aberto e desatualizado. O prazo de três dias dado pela CISA é um indicador de urgência, não uma medida de volume de vítimas.

Também não há informação pública sobre quantos equipamentos seguem sem correção, nem evidência de uso por grupos de ransomware neste caso específico — o registro da CISA marca esse campo como desconhecido. Vale lembrar o histórico recente: em setembro de 2026 a Check Point já havia alertado para duas outras falhas exploradas, CVE-2026-93616 no Security Management Server e CVE-2026-85102 no Security Gateway, ambas de execução remota sem autenticação.

Recomendações

• Aplicar o Jumbo Hotfix indicado no sk1000362 para a sua versão. Para R81 e R81.10, planejar migração: não há correção.
• Confirmar que a correção do PHP2Shell (CVE-2026-109618 e CVE-2026-109619) já está aplicada — é ela que fecha o acesso inicial.
• Se o hotfix não puder entrar agora, desativar o dynamic_server em Expert mode com dbset e salvar a configuração, ciente de que os comandos Dynamic CLI listados no sk144112 deixarão de funcionar. É medida temporária.
• Validar a correção: ls -l /tmp/dynamic_socket deve mostrar srw-rw---- root config (0660), e não 0777.
• Procurar em /var/log/dynamicCli.log por tentativas rejeitadas de UID não autorizado, por comandos que não usam o encapsulamento Clish padrão e por uso do sink system() — padrões raros ou ausentes no tráfego legítimo.
• Caçar os artefatos descritos pela Check Point: arquivos zz*.tpl no diretório de templates do portal, /tmp/CPconfigdaemon, /lib/libcpfwcommon.so, /tmp/.p_sock, escuta em TCP 11072, o marcador upload_progress_pwn em arquivos de sessão e picos de segfault nos processos Apache/PHP do portal.
• Revisar os logs de SSH do gateway para hosts ESXi, em especial autenticações com a conta vpxuser, e checar a presença de /tmp/des e de arquivos DREAM_ANNEXATION.txt.
• Tratar equipamento comprometido como irrecuperável por limpeza: reconstruir, trocar credenciais, chaves e certificados que passaram por ele.
• Bloquear ou alertar sobre os indicadores publicados no relatório oficial, que inclui os endereços IP e as somas SHA-256 das amostras.

Conclusão

A CVE-2026-123039 é um caso didático de falha “de nota média” que vira um problema grave ao ser combinada. Um socket com permissão aberta e sem autenticação é um erro antigo e simples de entender, e foi ele que transformou uma invasão de portal web em controle total de firewalls e, em parte dos casos, em destruição de dados em ambientes de virtualização. O que acompanhar nos próximos dias: se a CISA registra uso por grupos de ransomware, se surgem novas ondas depois de 2 de novembro, se a Check Point revisa a atribuição e se aparecem correções ou orientação específica para quem está em R81 e R81.10 sem suporte.

Fontes e referências

• BleepingComputer — “Check Point warns of zero-day flaw exploited for root access”: bleepingcomputer.com
• Check Point Support — “sk1000362: CVE-2026-123039”: support.checkpoint.com
• Check Point Research — “PHP2Shell exploitation on Check Point gateway”: research.checkpoint.com
• NVD / NIST — “CVE-2026-123039”: nvd.nist.gov
• CISA — “Known Exploited Vulnerabilities Catalog”: cisa.gov
• Plugged Ninja — “Falhas críticas no PHP: correção de emergência já disponível”: plugged.ninja