Check Point sotto attacco: zero-day sfruttato per ottenere root sui firewall e colpire VMware ESXi

📌 In sintesi

• Check Point conferma lo sfruttamento attivo di CVE-2026-123039. La vulnerabilità consente di ottenere privilegi root attraverso il servizio DynamicCLI di Gaia OS.
• Gli attacchi combinano PHP2Shell e privilege escalation. I criminali installano backdoor TSGA e TSProxy, raggiungendo in alcuni casi VMware ESXi con malware distruttivi.
• Disponibili hotfix urgenti. Check Point raccomanda il November Jumbo Hotfix e controlli specifici per individuare eventuali compromissioni.

Check Point ha confermato lo sfruttamento attivo di una vulnerabilità zero-day che consente agli aggressori di ottenere privilegi root sui sistemi Gaia OS utilizzati da firewall e infrastrutture di sicurezza aziendali. La falla, identificata come CVE-2026-123039 e classificata con un punteggio CVSS 7,8, interessa il servizio DynamicCLI e viene utilizzata in una catena di attacco che parte dallo sfruttamento remoto di PHP2Shell nei portali Mobile Access. Le intrusioni osservate dal 30 ottobre 2026 hanno coinvolto alcune decine di clienti Check Point, con episodi di persistenza, movimento laterale e operazioni distruttive contro host VMware ESXi. Il produttore ha rilasciato aggiornamenti urgenti e pubblicato indicatori di compromissione per aiutare gli amministratori a individuare eventuali intrusioni. Il rischio non riguarda soltanto la perdita del controllo del firewall, ma la possibilità che un dispositivo incaricato di proteggere la rete diventi il punto di ingresso per compromettere i sistemi interni.

CVE-2026-123039 permette l’esecuzione di comandi come root

La vulnerabilità riguarda l’interfaccia DynamicCLI IPC, utilizzata dal sistema operativo Gaia per inviare richieste al demone privilegiato dynamic_server. Secondo il bollettino ufficiale Check Point, il servizio opera con privilegi root e utilizza un socket locale accessibile in scrittura, senza autenticare adeguatamente i processi che si collegano. Un utente locale con privilegi limitati può quindi inviare comandi che vengono eseguiti con le autorizzazioni più elevate del sistema. CVE-2026-123039 è una vulnerabilità locale, non un accesso remoto senza autenticazione. Negli attacchi ricostruiti da Check Point, gli aggressori hanno prima sfruttato PHP2Shell, associata alle vulnerabilità CVE-2026-109618 e CVE-2026-109619, per entrare attraverso il portale Mobile Access. Solo successivamente hanno utilizzato DynamicCLI per diventare root. La distinzione è decisiva: la concatenazione delle vulnerabilità trasforma un accesso iniziale al portale VPN nel controllo privilegiato del gateway. La superficie PHP2Shell era già emersa nell’analisi delle vulnerabilità che interessano firewall, VPN e infrastrutture enterprise.

Leggi anche: Check Point, due vulnerabilità già sfruttate nei sistemi di gestione e nelle VPN

Dai firewall compromessi alle backdoor TSGA e TSProxy

Il rapporto tecnico di Check Point Research del 12 novembre descrive una prima ondata di attacchi il 30 ottobre, concentrata su organizzazioni israeliane, e una seconda fase il 2 novembre, estesa a obiettivi in diversi paesi. Dopo aver ottenuto i privilegi root, gli aggressori hanno installato webshell PHP e il malware TSGA, capace di mantenere un accesso persistente, sottrarre configurazioni e interferire con i registri del firewall. TSGA incorpora TSProxy, una componente che permette comunicazioni cifrate e accesso remoto attraverso processi già presenti sul dispositivo. L’analisi individua collegamenti tecnici con PhiliKit, una famiglia di strumenti già osservata nelle compromissioni degli apparati Ivanti. La somiglianza del malware non basta però per attribuire con certezza gli attacchi a un gruppo specifico. Check Point considera possibili più scenari, compreso l’utilizzo di strumenti condivisi o un’operazione costruita per confondere l’attribuzione.

VMware ESXi raggiunto dagli aggressori: compare il wiper destroy_v6

In uno degli incidenti analizzati, gli aggressori hanno utilizzato il gateway compromesso per effettuare ricognizioni della rete interna e raggiungere via SSH un host VMware ESXi. Sul sistema di virtualizzazione hanno distribuito il malware distruttivo destroy_v6, progettato per cancellare file e compromettere la disponibilità delle informazioni. Durante l’attacco è comparso anche il documento DREAM_ANNEXATION.txt, contenente un messaggio politico e privo di una richiesta di riscatto. L’operazione non corrisponde quindi al tradizionale ransomware finalizzato a ottenere un pagamento. Check Point segnala attività distruttive in una parte degli incidenti iniziali, mentre nella successiva ondata internazionale non ha individuato prove equivalenti. Non risultano conferme pubbliche di organizzazioni italiane colpite. Il caso dimostra comunque il rischio del movimento laterale a partire dalle infrastrutture perimetrali: un firewall compromesso può offrire agli aggressori visibilità e possibilità operative su sistemi che non sono direttamente esposti a Internet.

Check Point pubblica gli hotfix: quali sistemi devono essere aggiornati

Check Point raccomanda di installare immediatamente il November Jumbo Hotfix sui sistemi interessati. Gli aggiornamenti riguardano le piattaforme Security Gateway, Security Management, Multi-Domain e altri prodotti basati su Gaia OS, con verifiche differenti a seconda della versione e del livello di manutenzione. Per esempio, la documentazione ufficiale conferma la correzione di CVE-2026-123039 nel Jumbo Hotfix Take 174 per R81.20 e nel Take 132 per R82. Gli amministratori devono confrontare la propria versione con i pacchetti correttivi pubblicati da Check Point. Quando l’installazione immediata non è possibile, il produttore propone una mitigazione temporanea che consiste nell’arrestare il processo dynamic_server e impedirne il riavvio, purché l’organizzazione possa rinunciare temporaneamente alle funzionalità DynamicCLI. Le istruzioni dettagliate sono riportate nella documentazione ufficiale sk1000362. Il precedente caso delle vulnerabilità Check Point con esecuzione remota di codice e privilegi root mostra quanto sia importante mantenere aggiornati anche i componenti amministrativi dei sistemi di sicurezza.

Come individuare una compromissione e verificare la persistenza

Check Point ha pubblicato indicatori di compromissione che comprendono indirizzi IP utilizzati nelle scansioni, file PHP sospetti, processi associati a CPconfigdaemon e tracce di strumenti distruttivi nelle directory temporanee. Particolare attenzione deve essere riservata ai file contenenti la stringa upload_progress_pwn, agli eseguibili non riconosciuti e alle lacune anomale nei registri del traffico, che potrebbero indicare manomissioni successive alla compromissione. L’assenza di questi indicatori non garantisce che il sistema sia pulito. Le organizzazioni che esponevano Mobile Access devono ricostruire gli accessi avvenuti dalla fine di ottobre, verificare eventuali modifiche alle configurazioni e controllare la presenza di sessioni o account utilizzati per raggiungere sistemi interni. La sola installazione della patch corregge la vulnerabilità, ma non elimina automaticamente una backdoor già installata.

Continua con: Check Point corregge due vulnerabilità critiche nelle VPN

Il firewall diventa il punto di partenza dell’attacco

CVE-2026-123039 dimostra che la compromissione di un dispositivo di sicurezza può produrre conseguenze ben oltre il suo perimetro operativo. Gli aggressori hanno combinato una vulnerabilità remota e una falla locale per ottenere root, mantenere l’accesso e raggiungere infrastrutture di virtualizzazione. Le organizzazioni italiane che utilizzano prodotti Check Point devono quindi considerare l’aggiornamento urgente, accompagnandolo con una verifica delle eventuali compromissioni precedenti. Un firewall aggiornato può impedire nuovi tentativi di sfruttamento, ma soltanto un’analisi delle tracce di intrusione permette di capire se gli aggressori siano già entrati nella rete.