Quem administra equipamentos Check Point tem uma atualização urgente para instalar. A CVE-2026-123039, tornada pública a 12 de novembro, já estava a ser usada desde o final de outubro para dar privilégios de root e presença duradoura a intrusos em dispositivos vulneráveis. Nos casos investigados pela Check Point Research, a intrusão acabou num servidor VMware ESXi, onde foi executado malware destrutivo.
Resposta rápida: A CVE-2026-123039 (CVSS 7.8) permite a um utilizador local do Gaia OS executar comandos como root e foi explorada em conjunto com as falhas PHP2Shell no portal Mobile Access. A Check Point publicou correções nos Jumbo Hotfix de novembro para R81.20, R82, R82.10 e R82.20. Instale a atualização, confirme que a correção da PHP2Shell também está aplicada e procure os indicadores de comprometimento divulgados, porque corrigir não expulsa um atacante que já tenha entrado.
O que é a CVE-2026-123039
A falha está no Dynamic CLI do Gaia OS, o sistema operativo dos equipamentos Check Point. Em causa está um socket local, /tmp/dynamic_socket, no qual qualquer conta da máquina consegue escrever e cujo destinatário, um serviço com privilégios de root, não confirma quem lhe envia pedidos. Basta, por isso, uma sessão local autenticada para que um comando entregue por essa via corra com privilégios máximos.
No aviso que deixou na comunidade CheckMates, o fabricante classifica a gravidade em 7.8, nível alto. O registo CVE associa-lhe as fraquezas CWE-732 e CWE-862 e descreve um ataque local, de baixa complexidade, que exige poucos privilégios e nenhuma interação de utilizadores. Sozinha, a vulnerabilidade não abre a porta a partir da Internet. O risco surge quando é combinada com outra falha que dê ao atacante um primeiro ponto de apoio no equipamento.
Como decorreu o ataque
Foi essa combinação que a Check Point documentou no seu aviso de segurança e no relatório da Check Point Research. A porta de entrada foi a PHP2Shell, explorada no portal Mobile Access. Esse par de falhas (CVE-2026-109618 e CVE-2026-109619) tem CVSS 9.2 e dispensa autenticação para executar código à distância através das interfaces web das firewalls.
Com acesso limitado à conta de serviço do portal, os intrusos recorreram depois à CVE-2026-123039 para chegar a root. Esse nível de privilégio serviu para esconder webshells PHP na pasta de modelos com que o portal constrói as páginas de início de sessão. Seguiu-se a instalação de uma backdoor persistente, a TSGA, que traz embutido um componente de rede chamado TSProxy.
O mapeamento da rede interna ficou a cargo do scanner gogo, e a conta vpxuser deu entrada por SSH num anfitrião VMware ESXi. Nesse servidor correu o wiper destroy_v6, e ficaram para trás ficheiros DREAM_ANNEXATION.txt com mensagens de teor político.
Segundo a Check Point, o número de sistemas comprometidos ronda as duas dúzias, todos sem correções aplicadas e situados numa única região. O relatório aponta organizações israelitas como alvo da atividade, que teve origem no endereço 130.94.19[.]204.
| Data (2026) | Acontecimento |
|---|---|
| 21 de outubro | Chegam as correções do PHP para a PHP2Shell, cuja exploração tinha começado dias antes |
| 23 de outubro | Clientes Check Point passam a dispor de correções para a PHP2Shell em Security Gateway e Management |
| 30 de outubro | Surgem os primeiros sinais de exploração em gateways com Mobile Access |
| 4 de novembro | Último dia em que a atividade foi observada como ativa |
| 12 de novembro | Os Jumbo Hotfix R82 Take 132 e R82.10 Take 52 passam a resolver a CVE-2026-123039; o aviso e a análise técnica são publicados |
Versões afetadas e correções
Entre os produtos vulneráveis contam-se Firewall, Security Gateway, Scalable Platforms, Security Management Server e Multi-Domain Security Management Server. As fontes não coincidem totalmente quanto às versões. O registo CVE enumera quatro ramos, mas a publicação da Check Point no CheckMates alarga o intervalo afetado de R80.30 a R82.20.
| Ramo | Vulnerável (registo CVE) | Jumbo Hotfix com correção |
|---|---|---|
| R82.20 | Take 10 ou inferior | Take 14 |
| R82.10 | Take 50 ou inferior | Take 52 |
| R82 | Take 130 ou inferior | Take 132 |
| R81.20 | Take 173 ou inferior | Take 174 |
Os Takes de R82 e R82.10 constam das notas de versão oficiais. Os de R82.20 e R81.20 são os reportados a partir do boletim sk1000362, que não consultámos diretamente, pelo que devem ser confirmados antes da instalação. Para R81.10 e R81 não haverá Take corrigido, segundo a análise publicada pelo SecurityOnline, restando a mitigação temporária e o planeamento de uma migração.
Indicadores de comprometimento
| Indicador | Significado |
|---|---|
130.94.19[.]204 | Endereço de origem da atividade contra portais Mobile Access |
/tmp/CPconfigdaemon e slot_CPconfigdaemon | Local de arranque da backdoor TSGA e nome que adota ao mudar de sítio |
/lib/libcpfwcommon.so | Biblioteca partilhada onde fica o TSProxy, com proxy cifrado de tipo SOCKS |
destroy_v6 em /tmp/des | Wiper preparado e executado no anfitrião ESXi |
DREAM_ANNEXATION.txt | Notas deixadas na fase destrutiva |
| Ficheiros PHP inesperados na pasta de modelos do Mobile Access | Webshells colocadas após a obtenção de root |
Nos registos, merecem atenção os comandos tipicamente ligados a tentativas de exploração, o recurso a system(), raro em tráfego legítimo, e qualquer comando que dispense o invólucro Clish predefinido, sinal de possível execução como root através do socket.
O que fazer agora
- Atualizar: o fabricante pede a instalação, logo que possível, do novo Jumbo Hotfix de cada versão.
- Mitigar, se não for possível atualizar já: parar o
dynamic_servere impedir que reinicie é a alternativa proposta, ao custo de perder as funcionalidades do Dynamic CLI. - Fechar a porta de entrada: confirmar que a correção da PHP2Shell (boletim sk1000302) está aplicada em todos os gateways com Mobile Access exposto à Internet.
- Procurar sinais de intrusão: verificar os indicadores acima em todos os sistemas que estiveram expostos desde 30 de outubro.
- Rever a virtualização: auditar acessos SSH aos anfitriões ESXi, em particular com a conta
vpxuser, e validar cópias de segurança offline.
Um dado recente aumenta a urgência: um agregador público de exploits já lista um repositório apresentado como prova de conceito para esta falha. Não verificámos se o código funciona.
Quem está por trás
A autoria não está estabelecida. TSGA e TSProxy pertencem à família PhiliKit, que tem sido associada ao grupo UNC5221, de alegada ligação à China, e a ataques anteriores a equipamentos Ivanti. A SecurityWeek observa, porém, que o uso de um wiper e o caráter destrutivo dos ataques não encaixam no padrão conhecido das operações chinesas.
O episódio prolonga uma sequência difícil para o fabricante. Já em setembro tinham sido divulgadas duas falhas críticas de execução remota de código exploradas como zero-day, a CVE-2026-93616 no Security Management Server e a CVE-2026-85102 no Security Gateway.
Porque importa em Portugal
Os equipamentos Check Point são comuns em empresas e organismos públicos portugueses. Uma firewall comprometida com privilégios de root dá ao atacante visibilidade sobre o tráfego e um ponto de passagem para a rede interna. O Regime Jurídico da Cibersegurança (Decreto-Lei n.º 125/2025, que transpõe a NIS2) exige às entidades essenciais e importantes medidas de gestão de risco, incluindo o tratamento de vulnerabilidades, e a notificação de incidentes significativos ao CNCS.
Se a intrusão tiver exposto dados pessoais, o RGPD pode obrigar a notificar a CNPD no prazo de 72 horas. As PME que subcontratam a gestão da firewall devem pedir ao fornecedor confirmação escrita da versão instalada e da pesquisa de indicadores. Vale também a pena acompanhar os alertas do CERT.PT.
Perguntas frequentes
A CVE-2026-123039 pode ser explorada diretamente a partir da Internet?
Não. É uma escalada de privilégios local, que exige acesso prévio ao equipamento. Nos ataques observados, esse acesso foi obtido com as falhas PHP2Shell no portal Mobile Access.
Que versões do Gaia OS têm correção disponível?
Há Jumbo Hotfix com correção para R81.20, R82, R82.10 e R82.20. Quem usa versões mais antigas deve aplicar a mitigação temporária e planear a migração para uma versão suportada.
Instalar a atualização é suficiente?
Não. A correção fecha a falha, mas não remove webshells nem backdoors já instaladas. É necessário procurar os indicadores de comprometimento divulgados pela Check Point.
O que fazer se não for possível atualizar de imediato?
A Check Point recomenda parar o processo dynamic_server e impedir que reinicie, o que desativa o Dynamic CLI. A correção da PHP2Shell deve ser aplicada em paralelo.
Esta informação tem caráter noticioso e baseia-se em dados divulgados publicamente pela Check Point, pela Check Point Research, pelas notas de versão do Jumbo Hotfix R82 e pela comunidade CheckMates.