Check Point, root erişimi sağlayan sıfır gün açığı için acil yama yayınladı

Saldırganlar Ekim ayının sonundan beri, yetkisiz yerel kullanıcıların root yetkisi almasını sağlayan CVE-2026-123039 açığını kullanarak etkilenen cihazlarda kalıcı erişim sağlıyor.

Check Point, yüksek önem dereceli bir yerel ayrıcalık yükseltme açığı olan CVE-2026-123039 için acil düzeltme paketleri yayınladı. Saldırganlar bu açığı Ekim ayının sonundan itibaren, etkilenen cihazlarda root yetkisi elde etmek ve kalıcılık sağlamak için kullanıyor.

Açık, DynamicCLI süreçlerarası arayüzünde bulunuyor. Root yetkisiyle çalışan bir arka plan servisi, herkesin yazabildiği yerel bir soket üzerinden komut kabul ediyor ve bağlanan sürecin kim olduğunu doğrulamıyor. Bu nedenle kimliği doğrulanmış her yerel kullanıcı komutları root olarak çalıştırabiliyor. Şirket, yaklaşık yirmi dört müşteri üzerinde aktif sömürü gözlemlediğini doğruladı. Etkilenen ürünler arasında Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway ve Security Management Server yer alıyor.

Check Point'in ayrı bir incelemesinde anlatılan zincirde saldırganlar önce PHP2Shell açığıyla Mobile Access portalına girdi, ardından bu sıfır gün açığıyla yetkisini yükseltti, web kabukları ve arka kapılar yerleştirdi ve son olarak bir VMware ESXi sunucusuna geçerek yok edici bir zararlı yazılım dağıttı.

Yamayı hemen uygulayamayan müşterilere, dynamic_server sürecini durdurup yeniden başlamasını engellemeleri ve varsayılan Clish sarmalayıcısını atlayan, sokete dayalı şüpheli komutları aramaları öneriliyor.