チェック・ポイントのFWにゼロデイ、約2ダースの顧客で悪用　root奪取からESXi消去へ

　チェック・ポイント・ソフトウェア・テクノロジーズは11月12日までに、セキュリティ製品のOS「Gaia OS」に、root権限を奪われるゼロデイ脆弱性「CVE-2026-123039」があると明らかにした。すでに約2ダース規模の顧客で悪用を確認したという。同社が公開したアドバイザリによると、共通脆弱性評価システム（CVSS）のスコアは7.8で、深刻度は「高」。修正を含むホットフィックスも公開した。

　問題は、Gaia OSのDynamic CLIを担うroot権限のプロセス「dynamic_server」にある。このプロセスはローカルのソケット「/tmp/dynamic_socket」を、誰でも書き込める設定（0777）で作成する。しかも接続してきたプロセスを認証せず、受け取ったコマンドをrootとして実行する。ローカルでコードを実行できる攻撃者が、要求を1回書き込むだけでrootを得られるという。

　影響を受けるのは、Force Firewalls、管理サーバおよびログサーバ、Multi-Domain Security ManagementおよびMulti-Domain Log Server、Maestro Orchestratorである。バージョンはR82.20、R82.10、R82、R81.20、R81.10、R81で、このうちR81.10とR81はサポート終了（EOS）の扱いだ。Spark FirewallsとSmart-1 Cloudは対象外とした。

　修正は、Jumbo Hotfix AccumulatorのR82.20がTake 14以降、R82.10がTake 52以降、R82がTake 132以降、R81.20がTake 174以降に含まれる。R81.10とR81には、修正版が示されていない。修正版は認証のない呼び出しを遮断してログに記録し、ソケットの権限は0660（root、configグループ）になる。すぐに適用できない場合は、dynamic_serverを停止して再起動させない回避策も案内した。ただし、停止すると一部のDynamic CLIコマンドは失敗する。

　BleepingComputerによると、悪用は10月下旬から続いている。チェック・ポイントの別の報告では、攻撃者はまずMobile Accessポータルで脆弱性「PHP2Shell」を突いて侵入し、本件でrootを奪った。その後、VMware ESXiホストにデータ消去ツールを展開したという。チェック・ポイントは侵害の指標（IOC）も公開しており、ログの確認で兆候を調べるよう呼びかけている。