Check Point пусна спешни корекции за уязвимост от нулев ден (zero-day) с висока степен на опасност, която позволява получаване на администраторски root права в нейните мрежови устройства. Нападателите използват дефекта в комбинация с наскоро разкритите пропуски PHP2Shell, за да компрометират защитни стени и шлюзове, след което преминават към вътрешната инфраструктура и унищожават данни чрез зловреден софтуер от тип wiper. За бизнесите, разчитащи на хардуер и софтуер на Check Point за защита на периметъра си, бързото отстраняване на пролуката е от критично значение.
Как работи уязвимостта и каква е схемата на атака
Уязвимостта се следи под идентификатор CVE-2026-123039 и засяга междупроцесната комуникация (IPC – Inter-Process Communication) в операционната система Gaia OS, използвана от Check Point. Проблемът е локализиран в интерфейса DynamicCLI, чрез който се изпращат команди към системния процес dynamic_server, изпълняващ се с най-високи права (root). Според анализа на производителя този демон приема команди през локален сокет (/tmp/dynamic_socket), който е достъпен за запис от всеки потребител в системата и не изисква автентикация на свързващите се процеси. По този начин всеки автентикиран локален потребител може да изпрати инструкция и тя да бъде изпълнена с root права.
В реалните инциденти нападателите не разчитат на уязвимостта самостоятелно, а я включват в сложна верига от действия:
- Първоначален достъп: Атакуващите компрометират портала Mobile Access, експлоатирайки критичните уязвимости PHP2Shell (CVE-2026-109618 и CVE-2026-109619), които засягат всички версии от PHP 5 нагоре и позволяват отдалечено изпълнение на код (RCE – Remote Code Execution).
- Ескалация на права: След като получат достъп до системата, хакерите използват нулевия ден CVE-2026-123039, за да повишат правата си до root в операционната система Gaia OS.
- Укрепване на позициите: Нападателите разполагат уеб шелове (webshells) в директорията, използвана от Mobile Access за зареждане на страниците за вход, след което инсталират зловреден код TSGA (задна врата) и TSProxy. Тези инструменти са варианти на зловредната рамка PhiliKit, засичана по-рано при пробиви в устройства на Ivanti от групата UNC5221.
- Унищожаване на данни: След разузнаване във вътрешната мрежа хакерите се прехвърлят към виртуализационни хостове VMware ESXi, където активират разрушителен софтуер за изтриване на данни (wiper) и оставят съобщение, споменаващо компанията Dream Security.
Важно: Ако прилагането на официалните поправки не е възможно веднага, Check Point съветва администраторите да спрат процеса dynamic_server и да предотвратят неговото повторно стартиране като временна мярка за защита.
Кои продукти и организации са засегнати
По данни на Check Point уязвимостта CVE-2026-123039 засяга широка гама от решения за мрежова сигурност, включително защитните стени Firewall, шлюзовете Security Gateway, системите за централизирано управление Security Management Server и Multi-Domain Security Management Server, както и платформата Scalable Platforms. Компанията докладва, че експлоатацията на дефекта е засегнала няколко десетки нейни клиенти.
Наблюдавани са две отделни вълни на атаки. Първата е стартирала на 30 октомври и е имала подчертано деструктивен характер, насочена основно срещу организации в Израел. Втората вълна е започнала на 2 ноември и е обхванала организации в множество държави по света, като при нея не са регистрирани разрушителни действия с wiper. Анализаторите посочват, че нападателите не показват предпочитание към конкретни икономически сектори, което сочи към опортюнистични опити за пробив в уязвими системи.
Въпреки че нападателите са извършвали действията си в часовия диапазон на стандартния работен ден в Китай и са използвали зловреден код, свързван с китайски групи, използването на wiper софтуер не съответства на типичните кибероперации от този регион. От Check Point отбелязват, че са възможни няколко сценария – самостоятелна кампания, брокер на първоначален достъп или операция под фалшив флаг, при която унищожаването на данните е послужило за димна завеса.
Това не е първият инцидент с висок риск за потребителите на марката. През септември Check Point предупреди за нулев ден атаки срещу две други критични RCE уязвимости – CVE-2026-93616 и CVE-2026-85102, които не изискваха предварителни права. За последните две години американската Агенция за киберсигурност и инфраструктурна сигурност (CISA) е добавила пет дефекта в Check Point към своя списък с активно експлоатирани слабости, като два от тях са били използвани от групи за разпространение на рансъмуер.
Какво да направите сега: препоръки за защита
За да предпазите инфраструктурата си от компрометиране и загуба на критични данни, препоръчваме предприемането на следните действия в спешен порядък:
Приложете официалните актуализации, издадени от Check Point за CVE-2026-123039, както и поправките за уязвимостите PHP2Shell, пуснати на 21 октомври.
Ако не можете да обновите системите веднага, прекратете изпълнението на демона dynamic_server и блокирайте автоматичното му стартиране, за да изолирате уязвимия сокет /tmp/dynamic_socket.
Инспектирайте системните регистрационни файлове за команди, изпратени директно през локалния сокет без използване на стандартната обвивка Clish, както и за необичайно извикване на функцията system().
Проверете файловата система на Mobile Access за непознати PHP файлове и уеб шелове, и извършете одит на виртуалната среда (VMware ESXi) за нетипични процеси и неоторизиран достъп.
Изводи за мрежовата защита
Случаят показва ясна тенденция: съвременните кибератаки рядко разчитат на единична уязвимост. Злонамерените лица съчетават външен пробив през уеб компоненти с локално ескалиране на права в мрежовия периметър, за да си осигурят дълбоко проникване във виртуализационната инфраструктура. При нужда от съдействие специалистите на Defend.bg могат да помогнат с анализ на сигурността на вашите защитни стени, проверка за злонамерен софтуер и правилно конфигуриране на актуализациите.
