Qué es y cómo funciona
El daemon DynamicCLI en Check Point Gaia OS se ejecuta como root y escucha en un socket local (/tmp/dynamic_socket) con permisos de escritura global, sin autenticar los procesos que se conectan. Un usuario local autenticado puede enviar comandos a este socket y ejecutarlos con privilegios de root.
Productos y versiones afectadas
Afecta a múltiples productos de Check Point que utilizan Gaia OS. La vulnerabilidad está clasificada como CWE-732 (Asignación Incorrecta de Permisos para Recurso Crítico) y CWE-862 (Falta de Autorización).
Impacto y explotación
Con un CVSS de 7.8 (Alta), esta vulnerabilidad permite escalada de privilegios locales. Está confirmada en el catálogo CISA KEV (Known Exploited Vulnerabilities) bajo el nombre Check Point Multiple Products Incorrect Permission Assignment for Critical Resource Vulnerability, lo que indica explotación activa. Sin embargo, no se conoce su uso en ransomware. Existe 1 prueba de concepto pública en GitHub, y el EPSS estima un 2.2% de probabilidad de explotación en los próximos 30 días (percentil 83%). Shodan no reporta hosts expuestos en internet.
Qué hacer
Los usuarios de Check Point deben aplicar parches proporcionados por el fabricante inmediatamente, dado que la vulnerabilidad ya está siendo explotada activamente.
Este es el aviso número 3 sobre productos Check Point en pwned.cl.
| CVE | CVE-2026-123039 |
|---|---|
| Severidad | CRITICAL |
| CVSS | 7.8 / 10 |
| EPSS | 2.2% en 30 días (percentil 83) |
| CWE | CWE-732, CWE-862 |
| CISA KEV | Explotación activa confirmada |
| Exposición (Shodan) | sin hosts expuestos detectados actualmente |
| PoC público | github.com |