Check Point פרסמה ב-12 בנובמבר אזהרה על חולשה CVE-2026-123039 ברכיב DynamicCLI של מערכת ההפעלה Gaia, שמנוצלת בפועל. לפי החברה נצפו תקיפות נגד "כמה עשרות לקוחות". ב-13 בנובמבר הוסיפה CISA את החולשה לקטלוג החולשות המנוצלות (KEV). לחברות בישראל, שבהן Check Point נפוצה במיוחד, זה עדכון שצריך לטפל בו כבר השבוע.
מה ידוע
- מדובר בחולשת הסלמת הרשאות מקומית (CVSS 7.8): שירות שרץ בהרשאות root מקבל פקודות דרך socket מקומי שלא מאמת מי פונה אליו.
- לפי Check Point, התוקפים חדרו קודם לפורטל Mobile Access דרך חולשות PHP2Shell, ורק אחר כך השתמשו בחולשה החדשה כדי לקבל root. לאחר מכן התקינו דלתות אחוריות, ובחלק מהמקרים עברו לשרתי VMware ESXi והפעילו נוזקה מוחקת (Wiper).
- לפי הדיווחים, הגל הראשון החל ב-30 באוקטובר ופגע בארגונים ישראליים, כולל פעילות הרסנית. גל שני, רחב יותר, החל ב-2 בנובמבר במדינות נוספות. לא פורסם ייחוס ודאי לקבוצה מסוימת.
- גרסאות מושפעות: R82.20, R82.10, R82, R81.20, R81.10 ו-R81. חומות האש מסדרת Spark ו-Smart-1 Cloud אינן מושפעות.
מה עושים
- התקינו את ה-Jumbo Hotfix של נובמבר: R82.20 מ-Take 14, R82.10 מ-Take 52, R82 מ-Take 132, R81.20 מ-Take 174.
- גרסאות R81 ו-R81.10 כבר אינן נתמכות ולא פורסם להן תיקון. יש להפעיל את המעקף שמתואר בהנחיית החברה ולתכנן שדרוג בהקדם.
- עדכנו גם את פורטל Mobile Access נגד חולשות PHP2Shell. כל עוד אחת מהחולשות בשרשרת פתוחה, התוקף עדיין יכול להשתמש בה.
- בדקו סימני חדירה לפי האינדיקטורים (IOCs) ש-Check Point פרסמה. אם יש סימן לפריצה, טפלו בזה כאירוע אבטחה מלא, כולל בדיקה של שרתי הווירטואליזציה.
- אם חומת האש מנוהלת אצלכם על ידי ספק חיצוני, ודאו מולו שהעדכון כבר הותקן.
