Check Point heeft een kwetsbaarheid gepatcht in Gaia, het besturingssysteem van zijn firewalls en managementservers.
Aanvallers misbruiken een lek in de Gaia-besturingssoftware van Check Point firewalls en beheerservers. De bug laat aanvallers toe om volledige controle over toestellen te krijgen. Check Point lanceert een patch.
Het lek in kwestie heeft het volgnummer CVE-2026-123039. Check Point geeft het een CVSS-score van 7,8, wat als hoog geldt. De patch zit in de Jumbo Hotfix Accumulators voor R82.20 (vanaf Take 14), R82.10 (vanaf Take 52), R82 (vanaf Take 132) en R81.20 (vanaf Take 174).
Bug in Gaia
Gaia heeft een uitgebreide opdrachtregel, de Dynamic CLI. Het onderdeel dat die opdrachten verwerkt, draait als root, het account met de hoogste rechten op het toestel. Het aanvaardt opdrachten van elk programma op het toestel, zonder te controleren wie ze stuurt, en voert ze uit als root.
Een aanvaller die met beperkte rechten op het toestel binnen is, kan zo elke opdracht laten uitvoeren. Hij moet daarvoor wel eerst op een andere manier code kunnen uitvoeren op het toestel.
Bij de reeds uitgevoerde aanvallen die Check Point Research beschrijft, kwamen de aanvallers binnen via de Mobile Access-portal van niet-gepatchte Check Point Security Gateways, met misbruik dat past bij PHP2Shell.
Via CVE-2026-123039 verwierven ze daarna root-toegang en plaatsten ze achterdeuren. Een eerste golf van aanvallen vanaf 30 oktober trof Israëlische organisaties, waarbij de aanvallers in sommige gevallen ook bestanden wisten op VMware ESXi-servers. Een tweede golf op 2 november trof organisaties in meerdere landen en sectoren.
Getroffen toestellen
Het lek zit in Check Point Force Firewalls, Management Servers en Log Servers, Multi-Domain Security Management, Multi-Domain Log Server en Maestro Orchestrator. Het gaat om de versies R82.20, R82.10, R82, R81.20, R81.10 en R81. Spark Firewalls en Smart-1 Cloud zijn niet getroffen. Voor R81.10 en R81, die geen ondersteuning meer krijgen, vermeldt Check Point geen patch.
Updaten en nakijken
Beheerders installeren best de Jumbo Hotfix voor hun versie. Kan dat niet meteen, dan kunnen ze het onderdeel achter de Dynamic CLI tijdelijk uitschakelen. Een deel van de extra commando’s in de opdrachtregel werkt dan niet meer. Na de update kunnen beheerders met één commando nagaan of de patch actief is.
Een patch haalt geen achterdeur weg die er al staat. Het logbestand van de Dynamic CLI toont welke opdrachten binnenkwamen. Opdrachten om gebruikers aan te maken of bestanden te downloaden zijn volgens Check Point reden voor verder onderzoek. Check Point Research publiceerde ook de IP-adressen, bestandsnamen en hashes van de aanvallers, waarmee organisaties kunnen nagaan of hun toestellen besmet zijn.