A CVE-2026-123039 colocou equipamentos de segurança da Check Point Software no radar das equipes de cibersegurança após a confirmação de ataques reais contra dispositivos corporativos. A fabricante divulgou correções de emergência depois de identificar uma campanha que, desde 30 de outubro de 2026, combinou exploração de vulnerabilidades, escalonamento de privilégios e instalação de ferramentas maliciosas para manter acesso persistente aos sistemas comprometidos.
O cenário preocupa especialmente administradores de redes e profissionais de segurança porque os ataques não ficaram restritos aos equipamentos de perímetro. Em alguns incidentes, os invasores conseguiram utilizar os gateways comprometidos como ponto de entrada para a infraestrutura interna, alcançando servidores de virtualização VMware ESXi e executando ferramentas destinadas à destruição de dados.
A investigação da Check Point revelou uma cadeia de comprometimento que começa com a exploração do PHP2Shell no portal Mobile Access, avança com a vulnerabilidade de escalonamento de privilégios no Gaia OS e termina, em determinados casos, com a implantação dos malwares TSGA e TSProxy. Entender essa sequência é fundamental para identificar possíveis invasões e reduzir os riscos para ambientes corporativos.
Como funciona a vulnerabilidade CVE-2026-123039 no Gaia OS
A CVE-2026-123039 é uma vulnerabilidade de escalonamento local de privilégios (Local Privilege Escalation, ou LPE) no serviço DynamicCLI, componente do sistema operacional Gaia OS, utilizado pelos equipamentos da Check Point.
A falha recebeu pontuação 7,8 no CVSS 3.1, sendo classificada como de alta gravidade. Seu funcionamento está relacionado à comunicação entre processos por meio de uma interface IPC (Inter-Process Communication), mecanismo utilizado para permitir que diferentes componentes do sistema troquem informações e solicitem operações.
O problema está na configuração do socket Unix /tmp/dynamic_socket. O serviço DynamicCLI é executado com permissões de root, mas disponibiliza esse ponto de comunicação com permissões de escrita para qualquer usuário local, sem realizar a autenticação adequada dos processos que estabelecem conexão.
Na prática, um invasor que já tenha conseguido executar código com privilégios locais limitados pode enviar comandos diretamente para essa interface. Como o serviço responsável pelo processamento das solicitações opera como root, as instruções acabam sendo executadas com privilégios administrativos máximos.
Isso representa uma quebra importante do isolamento de privilégios do sistema. Uma conta que inicialmente teria permissões restritas pode passar a controlar componentes fundamentais do equipamento, modificar arquivos protegidos, instalar programas maliciosos e estabelecer mecanismos de persistência.
É importante observar que a CVE-2026-123039 não representa, isoladamente, uma vulnerabilidade de execução remota sem autenticação. Ela exige uma condição de acesso local. Na campanha investigada, entretanto, os criminosos combinaram essa falha com uma vulnerabilidade de execução remota no portal Mobile Access, criando o caminho necessário para alcançar o nível root.
A cadeia de ataque: da invasão inicial ao malware destrutivo no VMware ESXi
A campanha identificada pela Check Point Research demonstra como duas vulnerabilidades diferentes podem ser combinadas para transformar uma falha em um portal de acesso remoto em uma invasão completa da infraestrutura corporativa.
O primeiro estágio utiliza o PHP2Shell, conjunto de vulnerabilidades identificado como CVE-2026-109618 e CVE-2026-109619. Essas falhas permitem execução remota de código sem autenticação por meio das interfaces web dos equipamentos, incluindo o portal Mobile Access dos Security Gateways.
A sequência observada pelos pesquisadores ocorreu da seguinte maneira:
- Acesso inicial: os invasores exploraram o PHP2Shell em gateways expostos à internet, executando código no contexto do serviço responsável pelo portal Mobile Access.
- Escalonamento de privilégios: com acesso local limitado, utilizaram a CVE-2026-123039 para enviar comandos ao DynamicCLI e obter privilégios de root.
- Instalação de webshells: os criminosos colocaram arquivos PHP maliciosos no diretório de templates do portal, permitindo executar comandos, interpretar código PHP e transferir arquivos.
- Persistência: instalaram os componentes maliciosos TSGA e TSProxy para manter acesso ao equipamento e ocultar parte das comunicações.
- Movimentação lateral: utilizaram ferramentas de reconhecimento para identificar dispositivos internos e alcançaram servidores VMware ESXi por meio de SSH.
- Destruição de dados: implantaram o malware destrutivo destroy_v6 nos servidores de virtualização.
TSGA e TSProxy: mecanismos de persistência e controle remoto
Dois componentes merecem atenção especial nessa operação: TSGA e TSProxy.
O TSGA é um backdoor desenvolvido para ambientes Linux e adaptado especificamente para os equipamentos da Check Point. Ele oferece recursos de controle remoto criptografado, execução de comandos, transferência de arquivos e coleta de configurações do dispositivo.
O malware também implementa mecanismos de persistência por meio de cópias de segurança e alterações relacionadas à inicialização do sistema. Uma característica particularmente preocupante é sua capacidade de manipular registros binários do firewall, dificultando a reconstrução da atividade dos invasores.
Durante a campanha, o executável foi identificado inicialmente com o nome CPconfigdaemon. Posteriormente, passou a utilizar o nome slot_CPconfigdaemon para manter sua presença no equipamento.
Já o TSProxy funciona como um componente complementar de comunicação. Ele é instalado como uma biblioteca compartilhada em /lib/libcpfwcommon.so e pode ser injetado em processos selecionados do equipamento.
Sua função é interceptar determinadas operações de rede e permitir comunicações criptografadas com a infraestrutura dos atacantes, enquanto o tráfego legítimo continua funcionando normalmente. Isso dificulta a identificação de conexões suspeitas por meio de inspeções superficiais.
O ataque ao VMware ESXi e a destruição de dados
Depois de estabelecer persistência no gateway, os invasores utilizaram o scanner gogo para identificar ativos e serviços disponíveis na rede interna.
A investigação identificou movimentação lateral até um servidor VMware ESXi, utilizando SSH e a conta de serviço vpxuser.
No ambiente de virtualização, os criminosos implantaram o executável destroy_v6, um wiper, categoria de malware projetada para destruir informações em vez de simplesmente roubá-las ou criptografá-las para exigir resgate.
O programa percorre diretórios e remove arquivos. Em sua configuração padrão, também tenta sobrescrever os dados com zeros antes da exclusão. Existe ainda um modo de execução rápida que dispensa essa etapa de sobrescrita.
Durante a atividade destrutiva, os invasores deixaram arquivos identificados como DREAM_ANNEXATION.txt, contendo mensagens de caráter político e sem uma exigência convencional de pagamento de resgate.
A Check Point identificou relações entre TSGA, TSProxy e a estrutura de malware PhiliKit, anteriormente associada a ataques contra equipamentos Ivanti. Entretanto, os pesquisadores ressaltaram que as evidências disponíveis não permitem atribuir a operação com alto grau de confiança a um grupo específico.
Essa ressalva é importante: semelhanças técnicas, infraestrutura compartilhada e horários de operação podem indicar conexões entre campanhas, mas não comprovam, isoladamente, a identidade dos responsáveis.
Produtos da Check Point afetados e histórico recente de falhas
A vulnerabilidade CVE-2026-123039 afeta o DynamicCLI do Gaia OS e exige atenção de organizações que utilizam equipamentos de segurança e gerenciamento da Check Point.
O alerta da fabricante identifica como afetados os seguintes ambientes:
- Security Gateway e Firewalls: equipamentos responsáveis pela inspeção e proteção do tráfego de rede.
- Security Management Server: servidores utilizados para administrar políticas e configurações de segurança.
- Multi-Domain Security Management: plataformas destinadas ao gerenciamento de múltiplos domínios de segurança.
- Log Servers: servidores responsáveis pelo armazenamento e gerenciamento de registros de eventos.
As versões identificadas no comunicado de segurança incluem R81.20, R82, R82.10 e R82.20. A exposição depende também do Jumbo Hotfix instalado, portanto, administradores precisam conferir os requisitos específicos de cada versão.
É importante não confundir essa vulnerabilidade com outras falhas que atingem plataformas escaláveis. A Check Point também divulgou a CVE-2026-120490, relacionada a uma violação dos limites de proteção da rede Sync em determinadas configurações de plataformas como Maestro e ElasticXL. Trata-se de um problema distinto.
Relação com as vulnerabilidades de setembro de 2026
O novo incidente também acontece após outros problemas importantes envolvendo os produtos da fabricante.
Em setembro de 2026, a Check Point divulgou duas vulnerabilidades relevantes:
- CVE-2026-85102: falha de validação de certificados durante negociações VPN, permitindo execução remota de código sem autenticação. Recebeu pontuação CVSS 9,8.
- CVE-2026-93616: vulnerabilidade de Path Traversal no serviço web do Security Management, permitindo execução de scripts em caminhos arbitrários e carregamento de classes Java. Também recebeu CVSS 9,8.
As duas vulnerabilidades foram posteriormente incluídas no catálogo Known Exploited Vulnerabilities (KEV) da CISA, que reúne falhas com evidências de exploração real.
Esse histórico reforça a necessidade de tratar os equipamentos de perímetro como ativos críticos. Uma vulnerabilidade nesses dispositivos pode oferecer aos invasores um caminho para ultrapassar as defesas externas e alcançar sistemas internos que não estão diretamente expostos à internet.
Vale destacar que a inclusão das vulnerabilidades de setembro no catálogo KEV não significa que a CVE-2026-123039 também esteja listada nesse catálogo. São registros distintos, embora todos mereçam atenção prioritária.
Como mitigar e detectar comprometimentos pela CVE-2026-123039
A principal recomendação da Check Point é instalar o November Jumbo Hotfix nos servidores de gerenciamento e Security Gateways afetados.
A atualização disponibiliza correções para a vulnerabilidade DynamicCLI, além de outras falhas identificadas no ecossistema Gaia e nos componentes utilizados pelos equipamentos.
Os administradores devem verificar a versão instalada e consultar o pacote correspondente à sua linha de produto. Entre as atualizações publicadas em 12 de novembro de 2026 estão:
- R81.20: Jumbo Hotfix Take 174.
- R82: Jumbo Hotfix Take 132.
- R82.10 e R82.20: consultar os respectivos pacotes e requisitos de atualização da fabricante.
A instalação deve seguir os procedimentos de manutenção da organização, especialmente em ambientes com alta disponibilidade e equipamentos em cluster.
Mitigação temporária: interromper o DynamicCLI
Quando a instalação imediata do pacote de correção não for possível, a Check Point recomenda considerar a interrupção do processo dynamic_server, desde que a perda das funcionalidades do DynamicCLI seja aceitável para a operação.
Essa medida reduz temporariamente a exposição à vulnerabilidade, mas não substitui a instalação do patch.
O procedimento precisa ser realizado conforme as instruções oficiais da fabricante, incluindo a prevenção da reinicialização automática do serviço. A interrupção pode afetar comandos dinâmicos do Gaia, portanto, deve ser avaliada antes de ser aplicada em equipamentos de produção.
Indicadores de comprometimento e investigação dos logs
A aplicação da atualização não deve encerrar a investigação. Se o equipamento já tiver sido comprometido antes da correção, o invasor poderá manter mecanismos de persistência mesmo depois da instalação do patch.
A fabricante recomenda examinar o arquivo:
/var/log/dynamicCli.log
A investigação deve procurar chamadas suspeitas ao mecanismo system(), especialmente registros que apresentem o identificador #return_value# como destino de execução, em vez do fluxo convencional de comandos processados pelo wrapper Clish.
Também merece atenção a presença de comandos recebidos fora do encapsulamento normal do Clish, pois esse comportamento pode indicar tentativas de contornar os mecanismos esperados de execução de comandos administrativos.
Outros indicadores importantes incluem:
| Indicador | O que investigar |
|---|---|
upload_progress_pwn | Arquivos de sessão PHP associados à exploração do PHP2Shell. |
CPconfigdaemon | Processos ou executáveis que imitam componentes legítimos da Check Point. |
slot_CPconfigdaemon | Possível instalação persistente do backdoor TSGA. |
/lib/libcpfwcommon.so | Biblioteca associada ao TSProxy. |
zz*.tpl | Webshells implantadas no diretório de templates do portal. |
challenge_render.tpl | Arquivo utilizado na persistência web observada. |
DREAM_ANNEXATION.txt | Nota deixada durante a atividade destrutiva. |
destroy_v6 | Executável associado à destruição de arquivos. |
A investigação também deve considerar arquivos suspeitos em /tmp e /temp, alterações inesperadas nos arquivos de inicialização e lacunas inexplicadas nos registros de tráfego do firewall.
Outro sinal importante é o aparecimento de falhas ou encerramentos inesperados do serviço de logs durante períodos de atividade suspeita.
A Check Point também disponibilizou endereços IP relacionados à atividade de reconhecimento observada: 130.94.19[.]204 e 130.94.19[.]168. Esses indicadores devem ser utilizados em correlação com os registros internos, sem tratá-los como uma lista completa de toda a infraestrutura dos invasores.
A presença de qualquer um desses elementos exige investigação. Da mesma forma, a ausência de indicadores conhecidos não comprova que o equipamento esteja limpo.
Se houver evidências de execução como root, webshells ou persistência maliciosa, o procedimento adequado é tratar o dispositivo como potencialmente comprometido, preservar evidências, acionar a equipe de resposta a incidentes e avaliar a reconstrução segura do equipamento. A simples atualização não garante a remoção de um invasor que já tenha obtido controle administrativo.
Conclusão e impacto para equipes de segurança
A CVE-2026-123039 representa um risco significativo para organizações que utilizam equipamentos da Check Point, principalmente quando combinada com vulnerabilidades de execução remota no portal Mobile Access.
O aspecto mais preocupante da campanha não é apenas a obtenção de privilégios de root, mas a capacidade dos invasores de transformar um equipamento de perímetro em uma plataforma para movimentação lateral, persistência e ataques destrutivos contra servidores de virtualização.
A utilização conjunta de PHP2Shell, DynamicCLI, TSGA e TSProxy demonstra uma operação tecnicamente sofisticada. O comprometimento de um gateway pode abrir caminho para atingir máquinas virtuais, aplicações corporativas e dados armazenados em servidores VMware ESXi.
Para as equipes de SecOps, Blue Team e administração de infraestrutura, a prioridade deve ser verificar imediatamente as versões instaladas, aplicar os Jumbo Hotfixes correspondentes e investigar possíveis sinais de comprometimento anteriores à atualização.
Também é fundamental revisar os registros do Gaia OS, monitorar conexões SSH internas e verificar se existem arquivos ou processos associados aos indicadores divulgados pela fabricante.
