Check Point: falla Gaia già sfruttata, serve l'hotfix

Cosa è successo

Check Point produce firewall e gateway di sicurezza, usati da aziende ed enti per proteggere la rete. Questi apparati funzionano con Gaia OS, un sistema operativo proprio. Il 13 novembre 2026 BleepingComputer e The Hacker News hanno riferito che l'azienda ha pubblicato hotfix d'emergenza e un avviso, SK1000362, per la falla CVE-2026-123039.

Secondo l'avviso, il demone DynamicCLI di Gaia OS gira con i permessi di root (l'amministratore assoluto del sistema) e ascolta su un socket locale scrivibile da tutti, /tmp/dynamic_socket, senza controllare chi si collega. Basta quindi un utente locale autenticato per far eseguire comandi come root (BleepingComputer; The Hacker News parla di «una singola richiesta» scritta sul socket).

È una falla di escalation di privilegi locale: non basta da sola a entrare nell'apparato, serve già un accesso. The Hacker News le attribuisce un punteggio CVSS 7,8 (alto).

Come è stata usata

Check Point ha osservato lo sfruttamento attivo contro «un paio di dozzine» di clienti (BleepingComputer e The Hacker News). BleepingComputer lo data a partire da fine ottobre; secondo The Hacker News Check Point fa iniziare la campagna il 30 ottobre, contro organizzazioni israeliane, con un'ondata più ampia il 2 novembre verso organizzazioni di più paesi e settori.

La catena descritta nella ricerca di Check Point (riportata da entrambe le testate) ha quattro passaggi: ingresso dal portale Mobile Access con una falla chiamata PHP2Shell; passaggio a root con CVE-2026-123039; installazione di web shell e della backdoor TSGA con il componente TSProxy; spostamento su un host VMware ESXi, dove è stato lanciato un wiper, cioè un programma che cancella i file. The Hacker News associa PHP2Shell a CVE-2026-109618 e CVE-2026-109619.

Check Point non attribuisce la campagna. The Hacker News riferisce che TSGA e TSProxy sono giudicati componenti di un kit documentato da ESET a giugno 2026 e legato al gruppo «Armory Castle» (ex UNC5221), ma che Check Point dice di non avere prove sufficienti per attribuire questa campagna a quel gruppo.

Cosa fare

Se amministri apparati Check Point, installa l'hotfix d'emergenza indicato nell'avviso SK1000362. Secondo l'avviso di Check Point le build corrette sono: R82.20 Take 14 o successiva, R82.10 Take 52, R82 Take 132, R81.20 Take 174. Le versioni interessate sono R82.20, R82.10, R82, R81.20, R81.10 e R81; per R81.10 e R81 (non piu' supportate) l'avviso non indica una build corretta e resta solo la misura temporanea.

Se non puoi installarlo subito, Check Point indica come misura temporanea di fermare il processo dynamic_server e impedirne il riavvio (comando dbset process:dynamic_server seguito da dbset :save): si disattivano i comandi Dynamic CLI elencati nell'avviso sk144112. Sulle build corrette il socket /tmp/dynamic_socket deve avere permessi 0660 (root, gruppo config) invece di 0777; nel file /var/log/dynamicCli.log le righe «Rejected connection from unauthorized uid» indicano tentativi bloccati.

Secondo The Hacker News l'attività di fine ottobre ha colpito gateway non aggiornati attraverso i portali Mobile Access, circa una settimana dopo l'uscita di una correzione di sicurezza (la fonte non dice quale). Controlla quindi anche l'esposizione del portale Mobile Access e la correzione per PHP2Shell (CVE-2026-109618 e CVE-2026-109619).

Per controllare se sei stato colpito, BleepingComputer riporta gli indicatori di Check Point: comandi tipici dei tentativi di sfruttamento, uso del sink system() (raro o assente nel traffico legittimo) e comandi che non passano dal wrapper Clish predefinito, segno di esecuzione come root attraverso il socket. Se non gestisci tu l'apparato, chiedi al tuo fornitore se ha applicato l'hotfix.

Cosa non si sa ancora

Le fonti lette non dicono: chi ha scoperto la falla, se la falla è nel catalogo CISA delle vulnerabilità sfruttate (non verificato), quanti clienti siano stati colpiti oltre a «un paio di dozzine» e quale impatto abbia avuto in Italia. Non sappiamo nemmeno quali vittime abbiano subito il wiper.

Per versioni colpite e build corrette vale l'avviso di Check Point, che abbiamo letto.

Da dove vengono questi dati

I dati tecnici vengono dall'avviso ufficiale di Check Point SK1000362, letto il 13 novembre 2026, e da BleepingComputer e The Hacker News, che riprendono la ricerca di Check Point e non sono quindi indipendenti dal produttore. Cronologia (30 ottobre, 2 novembre), malware e attribuzione vengono solo da The Hacker News; non abbiamo letto la ricerca originale.