CVE-2026-123039: portaldan root'a giden kısa yol ve gateway'in kendi logu neden yetmez?

Bir firewall ele geçirildiğinde ilk soru genellikle "loglarda ne var?" olur. Bu olayda o soru tek başına yanıltıcı. Check Point Research'ün anlattığı saldırı zincirinde saldırganın gateway'e yerleştirdiği TSGA implant'ı firewall loglarını kurcalayabiliyor. Yani kanıtın bir kısmı, tam da şüphelendiğiniz cihazın elinde.

Ne oluyor?

Zincir iki halkalı. İlk halka, internete açık Mobile Access portalındaki PHP2Shell açıkları (CVE-2026-109618 ve CVE-2026-109619): saldırgan buradan portal servis hesabının yetkisiyle kod çalıştırıyor. İkinci halka CVE-2026-123039: Gaia'daki DynamicCLI bileşeninin kontrol soketi kimlik doğrulaması yapmıyor ve cihazda kod çalıştırabilen yerel bir kullanıcıya root yetkisiyle komut verdiriyor. Check Point bu açığın "birkaç düzine müşteriye" karşı istismar edildiğini söylüyor; CISA da açığı KEV kataloğuna ekledi, federal kurumlar için son tarih 16 Kasım.

Risk altındaki profil net: Mobile Access blade'i açık, portalı internete bakan ve düzeltme take'ini almamış gateway'ler. Ama DynamicCLI açığı yalnızca gateway'de değil; yönetim ve log sunucuları, Multi-Domain sunucuları ve Maestro Orchestrator da etkilenen ürünler arasında.

Saldırgan ne kazanıyor?

Root yetkisi olan bir firewall, ağın en güvenilen noktasıdır. Rapora göre 30 Ekim'deki ilk dalgada saldırganlar gateway'den vpxuser hesabıyla bir VMware ESXi sunucusuna geçti ve wiper çalıştırdı. 2 Kasım'daki ikinci dalgada yıkıcı faaliyet görülmedi, ama erişim yine alındı. Check Point operasyonun niteliğini yüksek güvenle değerlendiremediğini söylüyor: aynı aktör, bir initial access broker ya da false-flag olabilir. Avcı için sonuç değişmiyor: erişim satılmış da olabilir, ileride kullanılmak üzere bekletiliyor da olabilir.

Avlanma notları

• Sürüm ve take: önce fw ver ve cpinfo -y all ile hangi take'te olduğunuzu görün. Düzeltilmiş take'ler müdürümüz Sentinel Doğan'ın sk1000362 tablosunda: R82.20 için Take 14, R82.10 için Take 52, R82 için Take 132, R81.20 için Take 174 ve sonrası. R81.10 ve R81 için bildirimde düzeltme yok.
• DynamicCLI izleri: /var/log/dynamicCli.log içinde Clish sarmalayıcısıyla (CPprofile.sh) başlamayan Received = satırları şüphelidir. Soket izinlerine ls -l /tmp/dynamic_socket ile bakın; açık sistemde 0777 görünür.
• Portal izleri: login şablon dizininde zz ile başlayan .tpl dosyaları, /tmp altında .up.tpl, .bd.log, CPconfigdaemon; /lib/libcpfwcommon.so; TCP 11072'yi dinleyen bir süreç.
• Gürültü: 30 Ekim ve sonrasında portalın Apache/PHP worker'larında yüzlerce segmentation fault kaydı, istismar denemesinin yan etkisi olabilir.
• Logu dışarıdan doğrulayın: gateway üzerindeki kaydı SIEM'e ya da log sunucusuna giden kopyayla karşılaştırın. İki kayıt arasındaki boşluk, kendi başına bir bulgudur.
• Yanal hareket: hypervisor tarafında gateway adreslerinden gelen SSH oturumlarına, özellikle servis hesaplarıyla açılanlara bakın.

Bugün yapılacaklar

1. Mobile Access portalı internete açık gateway'leri listeleyin ve tablodaki take'e upgrade edin; R81.10 ve R81'deki cihazlar için desteklenen sürüme geçiş planını acil change olarak açın.
2. Yönetim sunucularını ve Maestro Orchestrator'ı unutmayın; açık onlarda da var.
3. Yukarıdaki izlerden biri çıkarsa cihazı ele geçirilmiş kabul edin: patch yeterli değil, rapora göre implant backup ve snapshot üzerinden kalıcılık sağlayabiliyor. Temiz kurulum ve TAC ile ilerleyin.
4. Gateway'in sakladığı ve eriştiği kimlik bilgilerini yenileyin; ESXi yedeklerinin ağdan ayrı kopyasını doğrulayın.

Avcının notu

Bu olayda en tehlikeli varsayım "logda bir şey yok" cümlesi. Saldırgan logu yazan cihazın içindeyse, kanıt aramaya o cihazın dışından başlayın. Take numarasını kontrol etmek on saniye sürer; ele geçirilmiş bir gateway'i temizlemek günler.