Introducción
La seguridad perimetral ya no es una fortaleza impenetrable si los vectores internos de comunicación entre procesos no están correctamente aislados. Check Point Software ha confirmado la explotación activa de una vulnerabilidad crítica que permite a usuarios locales autenticados escalar sus privilegios hasta root en dispositivos Gaia OS. Este fallo, identificado como CVE-2026-123039, afecta directamente al demonio dynamic_server y su interfaz IPC (Inter-Process Communication).
El problema concreto no radica en una complejidad criptográfica profunda, sino en un diseño que confía excesivamente en la autenticación local sin validación adecuada sobre el socket. Los equipos de infraestructura y seguridad deben actuar rápido: los atacantes están utilizando este vector para establecer persistencia tras obtener acceso inicial a través del portal Mobile Access. La situación se agrava porque esta escalada de privilegios es el paso previo necesario para desplegar backdoors especializados y malware destructivo en servidores virtualizados subyacentes.
Qué ocurrió
Check Point lanzó hotfixes de emergencia después de observar que un número significativo de clientes ya estaba sufriendo compromisos activos desde finales de octubre. La vulnerabilidad reside en el demonio DynamicCLI de Gaia OS, un componente fundamental para la gestión del firewall y la seguridad gateway. El dynamic_server se ejecuta con privilegios de root y escucha en un socket local (/tmp/dynamic_socket) que es escribible por todos los procesos locales.
El mecanismo de fallo es directo: el socket no autentica a los procesos conectados antes de aceptar sus solicitudes. Cualquier usuario local autenticado, incluso uno con privilegios mínimos, puede enviar un comando arbitrario a través de este socket. Al procesarse esta solicitud, el dynamic_server la ejecuta bajo su propio contexto de ejecución, que es root. Esto convierte una simple interacción IPC en una puerta trasera para la ejecución de código privilegiado sin necesidad de credenciales administrativas adicionales ni exploits remotos directos contra puertos públicos.
Impacto para DevOps / Infraestructura / Cloud / Seguridad
El impacto operacional trasciende al simple firewall. La cadena de ataque documentada por Check Point muestra una progresión clásica pero efectiva: acceso inicial, escalada de privilegios y movimiento lateral hacia la virtualización. Los atacantes entraron explotando las vulnerabilidades PHP2Shell en el portal Mobile Access. Una vez dentro como usuarios no privilegiados o con accesos limitados, utilizaron CVE-2026-123039 para devenir root en el sistema operativo del gateway.
Este acceso root permitió a los adversarios instalar backdoors específicos de Check Point, denominados TSGA, y malware TSProxy, componentes que ya habían sido detectados en ataques previos contra dispositivos Ivanti. La persistencia establecida en la capa del SO Gaia les dio la capacidad de pivotar desde el gateway comprometido hacia el host VMware ESXi que lo aloja. En varios incidentes reportados, este movimiento culminó con el despliegue de malware wiper destructivo, eliminando la visibilidad y los datos de la infraestructura virtualizada subyacente, un escenario catastrófico para entornos de producción que dependen de alta disponibilidad en la nube híbrida o on-premise.
Para los equipos DevOps y SRE, esto significa que la monitorización del sistema operativo del firewall (Gaia) es tan crítica como la monitorización de las reglas de tráfico. Un cambio silencioso en los procesos de root o la aparición de sockets desconocidos en /tmp pueden indicar una comprometimiento activo antes de que se note la degradación del servicio de red.
Detalles técnicos
La CVE-2026-123039 es clasificada como una vulnerabilidad de escalada de privilegios local (LPE). Los productos afectados incluyen Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway y Security Management Server. La arquitectura interna del fallo depende de la comunicación entre el cliente CLI y el daemon dynamic_server.
El vector de ataque explota la falta de autenticación en el socket Unix local /tmp/dynamic_socket. A diferencia de las interfaces web o SSH que requieren credenciales explícitas, este canal IPC asume que si un proceso puede abrir el socket, es confiable. Los investigadores observaron que los atacantes utilizaban la función system() como «sink» para ejecutar comandos. Esta llamada a sistema es inusual o ausente en el tráfico legítimo generado por las herramientas de administración estándar de Check Point (que suelen usar el wrapper Clish), lo que sirve como un indicador forense clave.
# Verificar si el dynamic_server está activo y escuchando
netstat -anp | grep dynamic_socket
# Listar procesos root asociados a la explotación sospechosa
ps aux | grep dynamic_serverAdemás, Check Point señaló que esta vulnerabilidad no opera en el vacío. Se suma a un historial reciente de fallos críticos en su plataforma. En septiembre, se advirtió sobre CVE-2026-93616 (Security Management Server) y CVE-2026-85102 (Security Gateway), ambas permitiendo ejecución remota de código sin privilegios previos. La acumulación de estas vulnerabilidades sugiere una superficie de ataque que requiere parcheo agresivo.
Qué deberían hacer los administradores y equipos técnicos
La acción primaria es la aplicación inmediata de los hotfixes proporcionados por Check Point para las versiones específicas de Gaia OS afectadas. No se debe postergar esta actualización bajo la premisa de que el acceso inicial (PHP2Shell) ya fue parcheado; la escalada local sigue disponible para cualquier atacante que logre un punto de apoyo mínimo en la máquina.
Si no es posible aplicar el hotfix inmediatamente debido a ventanas de mantenimiento estrictas, Check Point recomienda una mitigación temporal crítica: detener el proceso dynamic_server y prevenir su reinicio automático. Esto bloquea el vector de escalada de privilegios, aunque puede afectar funciones administrativas que dependan de la CLI dinámica en tiempo real.
# Detener el servicio dynamic_server (mitigación temporal)
systemctl stop dynamic_server
# Prevenir reinicio del servicio durante el arranque
systemctl disable dynamic_serverLos equipos de seguridad deben revisar los logs buscando evidencia de compromiso utilizando los IOCs publicados. Específicamente, busquen comandos que invoquen system() o que no utilicen el wrapper Clish por defecto. Estas anomalías indican que un proceso externo interactuó con el socket de forma no estándar, muy probablemente un script del atacante ejecutándose como root.
# Revisar logs de GaiaOS para actividad sospechosa en CLI
grep -i "system(" /var/log/messages
grep -i "dynamic_cli" /var/log/cpm.logFinalmente, verifiquen la integridad del host VMware ESXi subyacente. Dado que los atacantes pivotaron desde el gateway hacia el hipervisor y desplegaron wipers, una simple actualización del firewall no restaura totalmente la confianza si el hipervisor ya está comprometido o sus archivos virtuales han sido alterados.
Conclusión
La CVE-2026-123039 ilustra por qué las vulnerabilidades locales de escalada de privilegios son tan peligrosas en dispositivos de seguridad perimetral. No requieren acceso remoto inicial; solo necesitan un punto de entrada, que los atacantes obtuvieron mediante fallos conocidos en el portal Mobile Access. La combinación de PHP2Shell para la entrada y DynamicCLI IPC para la escalada a root creó una ruta clara hacia el control total del sistema operativo Gaia.
Para las organizaciones que dependen de Check Point como su línea principal de defensa, este incidente subraya la necesidad de parchear no solo los componentes expuestos a internet, sino también los mecanismos internos de gestión y comunicación entre procesos. La mitigación temporal de detener dynamic_server ofrece un respiro vital, pero la resolución definitiva requiere la actualización del software Gaia OS para corregir la validación en el socket local.
Fuentes
https://www.bleepingcomputer.com/news/security/check-point-patches-zero-day-that-lets-hackers-get-root-access/