米サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）は、CVE-2026-123039を「既知の悪用された脆弱性（KEV）カタログ」に追加しました。Check Point Gaia OSの権限設定の欠陥を突き、root権限でコマンドを実行する攻撃が確認されているとして、警告を発しています。
本記事の元になったエントリーによると、カタログへの追加日は2026年11月13日、対処期限は11月16日です。Check Point自身も、約24の顧客に対する悪用を独自に確認しています。
この問題はセキュリティゲートウェイと管理基盤に影響します。すでに低権限の足場を確保している攻撃者が、アプライアンスを完全に掌握できる可能性があります。
脆弱性があるのは、GaiaのDynamicCLIインターフェースを提供するroot権限のプロセスdynamic_serverです。このプロセスは、ローカルのプロセス間通信エンドポイント/tmp/dynamic_socket経由でコマンドを受け付けますが、このソケットは誰でも書き込み可能な0777のパーミッションで作成されています。
デーモンは接続してきたプロセスを認証しません。そのため、認証済みのローカルユーザーがコマンドを送信すると、root権限で実行されてしまいます。
このローカル権限昇格の脆弱性により、攻撃者は管理者の認証情報や被害者の操作がなくても、一般アカウントから特権的なアプライアンスサービスへと境界を越えられます。
悪用にはローカルでのコード実行権限が前提となるため、認証不要でリモートから単独で乗っ取れる脆弱性ではありません。ただし、攻撃者は別の侵入経路と組み合わせることができます。
PHP2Shellの悪用に関する報告では、攻撃者がMobile Accessポータルを侵害した後、DynamicCLIを呼び出してroot権限を獲得し、PHPウェブシェルを設置して永続的なインプラントを確立する手口が説明されています。
この点は運用上重要です。外部からの管理アクセスを制限するだけでは、攻撃者がポータルやローカルアカウントを侵害した後の権限昇格経路を断てません。root権限で実行されると、アプライアンスの設定が漏えいしたり、セキュリティ制御が無効化されたりするおそれがあります。
Check Pointによると、影響を受けるのはR82.20、R82.10、R82、R81.20のリリースと、サポート終了となったR81.10およびR81のブランチです。対象製品には、ファイアウォール、管理サーバーおよびログサーバー、Multi-Domainシステム、Maestro Orchestratorが含まれます。
Spark FirewallsとSmart-1 Cloudは影響を受けません。rootのSSHアクセスは別の管理上のリスクですが、これを無効にしてもローカルソケットの欠陥は解消されません。修正は、R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174で提供されています。
管理者は/var/log/dynamicCli.logを調べ、想定されるClishラッパーを欠いたまま受信されたコマンドや、#return_value#を含むリクエストがないかを確認してください。
CISAは、認証情報ファイル、ダウンロードユーティリティ、リバースシェルツール、アカウント作成、SSH認証鍵を参照するコマンドを調べるよう推奨しています。
ただし、これらはあくまで調査の手がかりであり、侵害の確証ではありません。元になったCISAのエントリーは、BOD 26-04に基づくフォレンジック・トリアージを求めており、ランサムウェアの関与については不明としています。
修正後は、/tmp/dynamic_socketのパーミッションが0660、所有者がroot:configになっているはずです。パッチ適用済みのシステムは、権限のない呼び出し元を拒否し、そのUIDをログに記録します。
dynamic_serverを一時的に停止すれば権限昇格は防げますが、DynamicCLIに依存するコマンドも使えなくなります。管理者はパーミッションの変更だけで対処したと見なさず、ベンダーのガイダンスに従ってください。
16,000以上のSOCチームがANY.RUNを活用し、脅威調査の効率化と手作業の削減を実現しています。チームで試してみる
翻訳元: https://cyberpress.org/cisa-check-point-zero-day/
