Check Point DynamicCLI zero-day'i (CVE-2026-123039): düzeltilmiş Jumbo Hotfix take'leri belli oldu, R81.10 ve R81 için patch yok
Check Point, sahada istismar edilen CVE-2026-123039 için sk1000362 bildirimini güncelledi. R82.20, R82.10, R82 ve R81.20 için düzeltme içeren Jumbo Hotfix take'leri açıklandı; destek süresi dolan R81.10 ve R81 için düzeltme belirtilmedi. Bildirimde loglarda aranacak izler de var.
CVE-2026-123039
Check Point, Gaia işletim sistemindeki DynamicCLI bileşeninde bulunan ve saldırılarda kullanılan CVE-2026-123039 için sürüm bazında düzeltme listesini yayımladı. Üreticinin 12 Kasım'da güncellediği sk1000362 bildirimine göre açık, cihazda zaten kod çalıştırabilen yerel bir kullanıcının kimlik doğrulaması yapmayan bir kontrol soketi üzerinden root yetkisiyle komut çalıştırmasına izin veriyor. CVSS puanı 7,8.
Check Point, açığın "birkaç düzine müşteriye" karşı aktif olarak istismar edildiğini gözlemlediğini bildiriyor. BleepingComputer'a göre istismar ekim sonundan beri sürüyor. Açık tek başına uzaktan kullanılamıyor; saldırganlar önce başka bir yoldan cihaza giriyor. Bu sabah yazdığımız PHP2Shell saldırı zinciri haberinde Mobile Access portalından girildikten sonra root'a çıkmak için bu açığın kullanıldığını aktarmıştık; o haberde eksik kalan sürüm tablosu artık üretici bildiriminden doldurulabiliyor.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Gaia R82.20 | R82.20 | Jumbo Hotfix Accumulator Take 14 ve sonrası |
| Gaia R82.10 | R82.10 | Jumbo Hotfix Accumulator Take 52 ve sonrası |
| Gaia R82 | R82 | Jumbo Hotfix Accumulator Take 132 ve sonrası |
| Gaia R81.20 | R81.20 | Jumbo Hotfix Accumulator Take 174 ve sonrası |
| Gaia R81.10 (destek sonu) | R81.10 | Bildirimde düzeltme belirtilmiyor |
| Gaia R81 (destek sonu) | R81 | Bildirimde düzeltme belirtilmiyor |
Bildirime göre etkilenen ürünler: Security Gateway (Force firewall'lar), Security Management ve Log sunucuları, Multi-Domain Security Management ve Multi-Domain Log Server, Maestro Orchestrator ve Scalable Platforms. Spark firewall'lar ve Smart-1 Cloud etkilenmiyor. Düzeltme, DynamicCLI'a gelen kimliği doğrulanmamış çağrıları engelliyor ve logluyor. Güncel liste için sk1000362 esas alınmalı.
Beni etkiliyor mu?
Yukarıdaki sürümlerden birini çalıştıran ve tablodaki take'in altında kalan her gateway, yönetim sunucusu ve orchestrator etkileniyor. Önce sürümü ve kurulu Jumbo Hotfix take'ini görün (expert mode):
fw ver
cpinfo -y allArdından soketin izinlerini kontrol edin. Bildirime göre düzeltilmiş sistemde soket root config sahipliğinde ve 0660 izinli, açık olan sistemde 0777 izinli görünür. Servisin çalışıp çalışmadığı süreç listesinde dynamic_server adıyla görülür; komut sk1000362'de yer alıyor.
ls -l /tmp/dynamic_socketServis, aldığı komutları /var/log/dynamicCli.log dosyasına yazıyor. Check Point, meşru çağrıların Clish sarmalayıcısıyla (CPprofile.sh ile başlayan satır) geldiğini, bu kalıba uymayan Received = satırlarının ve aşağıdaki kalıbın şüpheli olduğunu belirtiyor:
grep -F "Received = #return_value#" /var/log/dynamicCli.log
grep -c "Received =" /var/log/dynamicCli.logDüzeltme kurulduktan sonra engellenen denemeler aynı logda Rejected connection from unauthorized uid satırıyla görünür:
grep -F "Rejected connection from unauthorized uid" /var/log/dynamicCli.logTam iz listesi ve kalıplar sk1000362'nin "Indication of Compromise" bölümündedir.
Ne yapılmalı?
- R82.20, R82.10, R82 ve R81.20 sistemlerde tablodaki Jumbo Hotfix take'ine ya da daha yenisine geçin. Cluster ortamlarında üyeleri sırayla, change management kaydıyla yükseltin; Maestro ve yönetim sunucularını listeden çıkarmayın.
- R81.10 ve R81 destek süresini doldurdu ve bildirimde bu sürümler için düzeltme yok. Bu sistemler için desteklenen bir sürüme upgrade planlayın; o zamana kadar üçüncü maddedeki workaround'u değerlendirin.
- Hemen patch kurulamıyorsa Check Point'in workaround'u, DynamicCLI servisini (
dynamic_serversüreci) durdurmak ve yeniden başlamasını engellemektir. Adımlar sk1000362'de yer alıyor. Yan etkisi: servis kapalıyken sk144112'de listelenen Dynamic CLI komutları çalışmaz. - Loglarda şüpheli satır bulursanız cihazı ele geçirilmiş kabul edin: açık tek başına kullanılamadığı için saldırganın daha önce cihazda kod çalıştırdığı anlamına gelir. Mobile Access portalı açık gateway'lerde PHP2Shell haberindeki webshell ve dosya izlerine de bakın, Check Point desteğiyle iletişime geçin.
- Patch sonrası
Rejected connectionsatırlarını izlemeye alın; beklenmeyen bir kullanıcı kimliğinden gelen deneme, cihazda yetkisiz bir sürecin çalıştığını gösterir.
