网络安全厂商 Check Point 已发布紧急热修复，修补高危漏洞 CVE-2026-123039。据 BleepingComputer 报道，黑客自 10 月下旬起利用该漏洞，在受影响设备上获取 root 权限并建立持久驻留。Check Point 称，已观察到针对“a couple of dozen customers”（约二十几个客户）的主动利用。
据 BleepingComputer 报道，CVE-2026-123039 是位于 Gaia OS DynamicCLI 进程间通信（IPC）接口的本地提权漏洞。该接口用于向以 root 运行的 DynamicCLI（dynamic_server）守护进程发送特权命令请求。
Check Point 在周四的安全公告中称：DynamicCLI 守护进程以 root 运行，监听任何人可写的本地套接字 /tmp/dynamic_socket，且不验证连接进程。已认证的本地用户可以向该套接字发送命令，并以 root 身份执行。
受影响产品包括 Firewall、Multi-Domain Security Management Server、Scalable Platforms、Security Gateway 和 Security Management Server。
CISA 公告将 CVE-2026-123039 列为 Check Point 多款产品中的 Incorrect Permission Assignment for Critical Resource（关键资源权限分配不当）。同一批新增条目还包括 UnrealIRCd 漏洞 CVE-2026-114713，CISA 将其描述为 Improper Neutralization of Delimiters（分隔符中和不当）。
据 BleepingComputer 援引 Check Point 的另一份报告，攻击者先利用 PHP2Shell 漏洞进入 Mobile Access 门户，再用 CVE-2026-123039 的零日利用把权限提升到 root。随后，攻击者投放 webshell，并安装 TSGA 后门和 TSProxy 恶意软件。这两款恶意软件此前在针对 Ivanti 设备的调查中出现过。攻击者再从被攻陷的网关横向移动到 VMware ESXi 主机，部署破坏性擦除恶意软件。
Check Point 建议暂时无法部署热修复的团队停止 dynamic_server 进程，并阻止其重启，作为临时缓解措施。
厂商已公布入侵指标（IOC）。Check Point 称，客户可以从以下方面查找入侵证据：
system() sink 的使用（在合法流量中少见或不存在）据 BleepingComputer 报道，过去两年 CISA 已将 5 个 Check Point 漏洞加入已知被利用漏洞目录，其中 2 个也被勒索软件团伙利用。同一报道称，Check Point 曾在 9 月警告客户：攻击者正在零日攻击中利用另外两个关键远程代码执行漏洞，且不需要目标系统上的权限，分别是 Security Management Server 的 CVE-2026-93616，以及 Security Gateway 的 CVE-2026-85102。
CISA 称，此类漏洞是恶意网络行为者的常见攻击途径，并对联邦机构构成重大风险。约束性操作指令 BOD 26-04 适用于联邦民用行政部门（FCEB）机构，要求优先快速修复 KEV 目录中的高风险漏洞，尤其是公开暴露、被利用后可以完全控制资产的条目，并推迟处理较低风险的漏洞。该指令还对机构何时必须检查系统是否曾在安装补丁前遭到威胁行为者入侵提出基本要求。CISA 表示，BOD 26-04 只约束 FCEB 机构，同时鼓励所有组织采用基于风险的漏洞管理，优先修复 KEV 目录中的漏洞。
