Check Point DynamicCLI açığı (CVE-2026-123039) CISA KEV kataloğuna girdi: federal kurumlara son tarih 16 Kasım
CISA, sahada istismar edilen Check Point Gaia DynamicCLI açığını 13 Kasım'da KEV kataloğuna ekledi. Federal kurumlara verilen süre üç gün; kayıtta adli inceleme (forensics triage) şartı da işaretli. Düzeltilmiş Jumbo Hotfix take'leri değişmedi.
CVE-2026-123039
ABD Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), Check Point Gaia işletim sistemindeki DynamicCLI açığını (CVE-2026-123039) 13 Kasım'da Known Exploited Vulnerabilities (KEV) kataloğuna ekledi. Kayıt, açığın saldırılarda kullanıldığının resmi teyidi anlamına geliyor. ABD federal kurumlarına tanınan süre yalnızca üç gün: son tarih 16 Kasım 2026.
KEV kaydına göre root yetkisiyle çalışan DynamicCLI servisi, herkesin yazabildiği yerel bir soketi dinliyor ve bağlanan süreçlerin kimliğini doğrulamıyor; cihazda oturumu olan yerel bir kullanıcı bu soket üzerinden root olarak komut çalıştırabiliyor. Kayıtta "forensics triage" alanı "evet" olarak işaretli; yani CISA, BOD 26-04 kapsamında yalnızca patch'i değil, cihazın ele geçirilip geçirilmediğinin incelenmesini de istiyor. Ransomware kampanyalarında kullanımı "bilinmiyor" olarak geçiyor. Açığın teknik ayrıntılarını ve log izlerini düzeltilmiş take listesi haberimizde, saldırı zincirini ise PHP2Shell haberimizde aktarmıştık.
Etkilenen ve düzeltilmiş sürümler
Sürüm tablosu Check Point'in sk1000362 bildirimindeki haliyle aynı; KEV kaydı yeni bir sürüm bilgisi getirmiyor.
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Gaia R82.20 | R82.20 | Jumbo Hotfix Accumulator Take 14 ve sonrası |
| Gaia R82.10 | R82.10 | Jumbo Hotfix Accumulator Take 52 ve sonrası |
| Gaia R82 | R82 | Jumbo Hotfix Accumulator Take 132 ve sonrası |
| Gaia R81.20 | R81.20 | Jumbo Hotfix Accumulator Take 174 ve sonrası |
| Gaia R81.10 ve R81 (destek sonu) | Tüm take'ler | Bildirimde düzeltme belirtilmiyor |
KEV kaydı etkilenen ürünleri Firewall, Security Gateway, Security Management Server, Multi-Domain Security Management Server ve Scalable Platforms olarak sayıyor. Güncel liste için sk1000362 esas alınmalı.
Beni etkiliyor mu?
Tablodaki sürümlerden birini çalıştıran ve belirtilen take'in altında kalan her gateway, yönetim sunucusu ve orchestrator etkileniyor. Sürümü ve kurulu Jumbo Hotfix take'ini görmek için (expert mode):
fw ver
cpinfo -y allBildirime göre açık olan sistemde soket 0777, düzeltilmiş sistemde 0660 izinli görünür:
ls -l /tmp/dynamic_socketŞüpheli çağrı izi için üreticinin verdiği kalıp:
grep -F "Received = #return_value#" /var/log/dynamicCli.logNe yapılmalı?
- Henüz geçmediyseniz tablodaki Jumbo Hotfix take'ine ya da daha yenisine geçin. KEV süresi Türkiye'deki kurumları bağlamıyor, ama üç günlük süre açığın ne kadar acil görüldüğünün ölçüsü; patch'i bir sonraki bakım penceresine bırakmayın.
- Patch'i kurmak yetmez, iz arayın. Açık tek başına uzaktan kullanılamıyor; logda şüpheli satır varsa saldırgan cihaza daha önce başka bir yoldan girmiş demektir. Cihazı ele geçirilmiş kabul edip Check Point desteğiyle ilerleyin.
- R81.10 ve R81 için düzeltme belirtilmedi. Bu sistemlerde desteklenen bir sürüme upgrade planlayın; o zamana kadar sk1000362'deki workaround'u (DynamicCLI servisinin durdurulması) yan etkileriyle birlikte değerlendirin.
- Mobile Access portalı internete açık gateway'leri öne alın; sahadaki saldırılarda ilk giriş bu portal üzerinden yapıldı.
- Yapılan işlemleri change management kaydıyla belgeleyin; cluster üyelerini sırayla yükseltin.
