CVE-2026-123039: escalada a root en Check Point Gaia OS (DynamicCLI) explotada activamente

CVE-2026-123039: escalada local a root en Check Point Gaia OS explotada activamente

CISA añadió el 13 de noviembre de 2026 la vulnerabilidad CVE-2026-123039 al catálogo de Vulnerabilidades Explotadas Conocidas (KEV). Afecta a varios productos de Check Point y se clasifica como asignación incorrecta de permisos sobre un recurso crítico (CWE-732 y CWE-862, ausencia de autorización). La inclusión en KEV implica evidencia de explotación activa. CISA no indica por ahora si se usa en campañas de ransomware (Unknown) y aún no hay puntuación CVSS enriquecida por NVD.

Análisis Técnico

Según CISA, el demonio DynamicCLI de Gaia OS se ejecuta como root y escucha en un socket local con permisos de escritura para todos los usuarios, sin autenticar a los procesos que se conectan.

Vector de Ataque

El atacante necesita una cuenta local autenticada en el equipo (por ejemplo, un usuario de bajo privilegio o una sesión obtenida previamente).
Se conecta al socket de DynamicCLI, que no verifica la identidad ni los privilegios del proceso cliente.
Envía un comando al socket y el demonio lo ejecuta como root, lo que supone una escalada local de privilegios completa.

La explotación no requiere interacción del usuario y es de baja complejidad, ya que el fallo es de diseño en el control de acceso, no una corrupción de memoria.

Impacto Operacional y de Seguridad

Un atacante con acceso local limitado puede obtener control total del appliance de seguridad. Al tratarse de firewalls y gateways, las consecuencias pueden incluir:

Modificación o desactivación de políticas de seguridad y reglas de filtrado.
Acceso a credenciales, claves VPN, certificados y configuración sensible.
Persistencia en el dispositivo y uso como punto de pivote hacia redes internas.
En gestión centralizada, riesgo para los dominios y gateways administrados.

Combinada con otro acceso inicial (credenciales robadas, un fallo de ejecución remota o un administrador de bajo privilegio malicioso), la vulnerabilidad permite encadenar una intrusión hasta el control total del perímetro.

Productos Afectados

Check Point Firewall
Multi-Domain Security Management Server
Scalable Platforms
Security Gateway
Security Management Server

Las versiones y los hotfixes concretos se detallan en el aviso del fabricante (sk1000362). Conviene consultarlo directamente, ya que no los reproducimos aquí para evitar imprecisiones.

Recomendaciones y Mitigación

Acciones Inmediatas Recomendadas

Aplicar las mitigaciones y parches indicados por Check Point en sk1000362.
Seguir la directiva BOD 26-04 de CISA y sus requisitos de Forensics Triage. La fecha límite para agencias FCEB es el 16 de noviembre de 2026.
Evaluar la exposición de cada activo y revisar quién tiene cuentas locales o acceso CLI/SSH a los equipos Gaia.
Restringir y auditar el acceso administrativo; aplicar mínimo privilegio y MFA donde sea posible.
Buscar indicios de compromiso: comandos inusuales ejecutados como root, nuevos usuarios, cambios no autorizados en la configuración y conexiones al socket de DynamicCLI.
Si no hay mitigaciones disponibles, seguir la guía de CISA, que incluye discontinuar el uso del producto.