Interfaz en español. Las fichas, los resúmenes y las fuentes conservan su idioma original.
Check Point confirms active exploitation of a local DynamicCLI flaw. Attackers must already be able to execute code on an affected appliance before using it to gain root privileges.
Quiénes deben revisar: Teams operating affected Check Point firewalls, management or log servers, and Maestro Orchestrator.
Install the corrected Jumbo Hotfix for your Gaia branch and verify the socket permissions. Review DynamicCLI and authentication logs for earlier abuse; patching does not remove an existing compromise.
Check Point’s November 12 revision confirms active exploitation of CVE-2026-123039. The root DynamicCLI daemon accepts commands through a local socket that is writable by other users and does not authenticate the connecting process. Existing local code execution is a prerequisite.
The correction authenticates callers and restricts socket permissions. The vendor provides different Jumbo Hotfix takes for four supported branches; an appliance on an older unsupported branch needs a supported upgrade path. Spark Firewalls and Smart-1 Cloud are outside the stated scope of this CVE.
Check Point also provides log checks for unexpected commands. Rejected calls after the fix can indicate blocked escalation attempts; they do not by themselves establish successful compromise. Oktsec recommends reviewing earlier activity as well as verifying the installed correction.
| Producto | Afectado | Versión corregida / acción |
|---|---|---|
| Gaia R82.20 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 14 |
| Gaia R82.10 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 52 |
| Gaia R82 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 132 |
| Gaia R81.20 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 174 |
| Gaia R81 and R81.10 | Affected branches listed as end of support | Move to a supported branch with the correction; no fix listed for these branches |
Usá las indicaciones para tu producto y rama. Confirmá con el proveedor las correcciones adaptadas a tu distribución; el nombre del producto por sí solo no establece exposición.
Check Point confirms active exploitation. The flaw requires existing local code execution and does not itself provide an unauthenticated remote entry point.
Oktsec recommends reviewing shell access held by automation on affected appliances, since existing local execution can become root access.
Added verified product scope, exploitation evidence and the vendor’s correction guidance.
Usá esta lista para evaluar si el aviso afecta a tus sistemas, registrar las acciones de tu equipo y compartir el resultado. Radar no escanea ni verifica tu entorno.
Los cambios se guardan automáticamente en este navegador. No se sincronizan con tu equipo ni se envían a Oktsec.
Revisá los sistemas y versiones afectados y registrá tu decisión a continuación. Si tenés dudas, elegí «Requiere verificación».
Indicá el sistema y la persona o equipo responsable. Actualizá cada acción y agregá una referencia al ticket o notas sobre lo revisado.
Check Point lists Force Firewalls, Management and Log Servers, Multi-Domain Security Management and Log Servers, and Maestro Orchestrator. Spark Firewalls and Smart-1 Cloud are excluded from this CVE. R81 and R81.10 are out of support.
Use R82.20 Take 14, R82.10 Take 52, R82 Take 132 or R81.20 Take 174, or a later take containing the correction. Follow vendor instructions for every relevant appliance and cluster member.
Check Point documents stopping dynamic_server and preventing its restart. This disables the Dynamic CLI commands described in its guidance; assess the operational impact before applying the mitigation.
The vendor expects /tmp/dynamic_socket to be owned by root:config with mode 0660, not 0777. Inspect /var/log/dynamicCli.log for commands outside the expected Clish wrapper and correlate with portal and authentication logs. Oktsec recommends incident response if suspicious execution is found.
Descargá un archivo Markdown con tu decisión, los estados de las acciones, las notas y las fuentes. Compartilo con tu equipo o adjuntalo a un ticket.
Compará la versión en ejecución y la configuración con las indicaciones del proveedor.
| Producto | Afectado | Versión corregida / acción |
|---|---|---|
| Gaia R82.20 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 14 |
| Gaia R82.10 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 52 |
| Gaia R82 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 132 |
| Gaia R81.20 on affected appliances | Vulnerable DynamicCLI configuration; install the branch correction | Jumbo Hotfix Take 174 |
| Gaia R81 and R81.10 | Affected branches listed as end of support | Move to a supported branch with the correction; no fix listed for these branches |
Confirmá con el proveedor las correcciones adaptadas a tu distribución. Coincidir en el producto no basta para establecer exposición.
Check Point confirms active exploitation. The flaw requires existing local code execution and does not itself provide an unauthenticated remote entry point.
Criterios de prioridadCatálogo 2026.11.10 · Revisado 13 nov 2026 UTC
No hay un CVE coincidente en el corte del catálogo revisado. Esto no demuestra ausencia de explotación. Revisá las fuentes del incidente y las indicaciones del proveedor.
| Producto / CVE | Evidencia de ataques | Indicaciones de la fuente |
|---|---|---|
| Gaia DynamicCLICVE-2026-123039 | Ataques confirmados Reportado por las fuentes enlazadas en este aviso. | Check Point fuenteRevisar sistemas afectados |
Estimación no disponible. No equivale a un puntaje de cero.
FIRST EPSS · Revisado 2026-11-13 02:21 UTC
La prioridad corresponde al aviso, no a cada producto o CVE por separado. Cada fila muestra solo la evidencia atribuida a ese CVE. La falta de evidencia de ataques no permite descartar una vulnerabilidad. Tu entorno no fue escaneado.
Los datos técnicos provienen de estas fuentes. Las prioridades y las acciones recomendadas son el análisis de Oktsec.
| Producto / servicio | Gaia DynamicCLICheck Point |
|---|---|
| CVE | CVE-2026-123039 |
| Evidencia de explotación | Ataques confirmados |
| Acceso necesario | Requiere acceso a una cuenta |
| Corrección / respuesta | Requiere acciones adicionalesVersiones afectadas y correcciones |
Oktsec recommends reviewing shell access held by automation on affected appliances, since existing local execution can become root access.