Check Point lanzó parches de emergencia para corregir la vulnerabilidad CVE-2026-123039, la cual permite a atacantes obtener privilegios de root en diversos dispositivos de seguridad. Se ha detectado que hackers utilizan este fallo, junto con otros, para instalar malware y desplegar wipers destructivos en servidores VMware ESXi. La empresa insta a los clientes a aplicar las actualizaciones inmediatamente o detener el proceso `dynamic_server` como medida temporal.





Check Point Software ha lanzado correcciones de emergencia para solucionar un fallo de severidad alta que los hackers han estado explotando para obtener privilegios de root y establecer persistencia en dispositivos vulnerables desde finales de octubre.

Identificada como CVE-2026-123039, esta vulnerabilidad de escalada de privilegios locales se encontró en la interfaz IPC (Comunicación Inter-Procesos) DynamicCLI utilizada para enviar solicitudes de comandos privilegiados al demonio DynamicCLI (dynamic_server) de Gaia OS a nivel de root.

"Check Point observó una explotación activa de esta vulnerabilidad contra un par de docenas de clientes", advirtió la empresa en un aviso de seguridad el jueves.


"El demonio Gaia OS DynamicCLI se ejecuta como root y escucha en un socket local escribible por cualquier usuario (/tmp/dynamic_socket) sin autenticar los procesos que se conectan. Un usuario local autenticado puede enviar un comando al socket y hacer que se ejecute como root".

La lista de productos de Check Point vulnerables a los ataques que explotan el fallo CVE-2026-123039 incluye el Firewall de la empresa, el Servidor de Gestión de Seguridad Multi-Dominio, Plataformas Escalables, Security Gateway y el Servidor de Gestión de Seguridad.

En un informe aparte, Check Point señaló que los atacantes primero obtuvieron acceso al portal de Acceso Móvil explotando la vulnerabilidad PHP2Shell, y luego escalaron privilegios a root utilizando exploits de día cero de CVE-2026-123039.

A continuación, los actores de amenazas depositaron webshells e instalaron el backdoor TSGA y el malware TSProxy, que previamente se habían detectado mientras se investigaban ataques dirigidos a dispositivos Ivanti, para luego pivotar desde la puerta de enlace comprometida hacia un host VMware ESXi y desplegar un malware wiper destructivo.

cve-2026-123039 attack chain (check point)

Check Point aconsejó a los equipos de seguridad que no puedan implementar inmediatamente las correcciones de CVE-2026-123039 que detengan el proceso dynamic_server y eviten que se reinicie como medida de mitigación temporal.

La empresa también compartió indicadores de compromiso (IOC), y afirmó que los clientes pueden encontrar evidencia de compromiso verificando comandos comúnmente asociados con intentos de explotación, el uso del sink system() (poco común o ausente en el tráfico legítimo) y comandos que no utilizan el envoltorio Clish predeterminado.

En septiembre, Check Point advirtió a los clientes que los atacantes habían estado explotando otras dos vulnerabilidades críticas de ejecución remota de código (RCE) en el Servidor de Gestión de Seguridad (CVE-2026-93616) y el Security Gateway (CVE-2026-85102) en ataques de día cero que no requerían privilegios en los sistemas objetivo.

En los últimos dos años, la Agencia de Seguridad de Infraestructura y Ciberseguridad de EE. UU. (CISA) ha añadido cinco fallos de Check Point a su catálogo de vulnerabilidades explotadas activamente, dos de los cuales también han sido abusados por bandas de ransomware.



Fuente:
BleepingComputer