Check Point ช่องโหว่ยกระดับสิทธิ์ root CVE-2026-123039 ถูกโจมตีจริง
ผู้ดูแลระบบ Check Point ที่ได้รับผลกระทบควรเร่งติดตั้ง Hotfix เพราะผู้ผลิตยืนยันว่าพบการโจมตีจริงแล้ว
สรุปใน 1 นาที
- อาการ/ปัญหา
- ผู้ใช้ที่ยืนยันตัวตนและเข้าถึงภายในเครื่องได้สามารถส่งคำสั่งผ่าน DynamicCLI ให้ทำงานด้วยสิทธิ์ root
- ใครควรอ่าน
- ผู้ดูแลระบบที่ใช้ Check Point Security Gateway หรือระบบ Management, Multi-Domain และ Log Server บน Gaia OS รุ่นที่ได้รับผลกระทบ
- ทางแก้แบบสั้น
- ติดตั้ง Jumbo Hotfix ที่แก้ CVE-2026-123039 ให้ตรงสายรุ่น หรือใช้วิธีหยุด DynamicCLI ตามคำแนะนำผู้ผลิตระหว่างรอแพตช์
พอดีไล่ฟีดความปลอดภัยเจอ CVE-2026-123039 ใน Check Point หลายผลิตภัณฑ์ ระเบียน CVE เผยแพร่วันที่ 12 พฤศจิกายน 2026 และผู้ผลิตยืนยันว่าพบการโจมตีจริงแล้ว ผู้ดูแลอุปกรณ์ที่ใช้ Gaia OS ควรตรวจทั้ง Gateway และเครื่องจัดการ เพราะปัญหาอยู่ที่บริการ DynamicCLI ภายในระบบ
ใครต้องทำอะไร
- ผู้ดูแลระบบ: ตรวจรุ่นและชุด Hotfix ของ Check Point ที่ได้รับผลกระทบ แล้วเร่งติดตั้งแพตช์ให้ตรงรุ่นโดยเร็ว
เกิดอะไรขึ้น
ตามระเบียน CVE ที่ Check Point เป็นผู้ให้ข้อมูล บริการ DynamicCLI บน Gaia OS ทำงานด้วยสิทธิ์ root บริการนี้รับคำสั่งผ่าน local socket ที่ /tmp/dynamic_socket ซึ่งผู้ใช้ทุกคนในเครื่องเขียนถึงได้ และไม่ตรวจตัวตนของโปรเซสที่เชื่อมต่อ ผู้ใช้ที่ล็อกอินและเข้าถึงภายในเครื่องได้เลยส่งคำสั่งให้บริการนำไปทำงานด้วยสิทธิ์ root ได้
พูดง่าย ๆ คือบัญชีที่มีสิทธิ์จำกัดอาจสั่งงานในระดับผู้ดูแลสูงสุดได้ ผู้โจมตีอาจอ่านหรือแก้ข้อมูล และทำให้ระบบใช้งานไม่ได้ ระเบียนให้คะแนน CVSS 3.1 ที่ 7.8 ระดับ High การโจมตีต้องมีสิทธิ์ระดับต่ำในเครื่องอยู่ก่อน ไม่ต้องรอให้ผู้ใช้อื่นกดหรือเปิดอะไรเพิ่ม
ประกาศ Check Point บน CheckMates ยืนยันว่าพบการใช้ช่องโหว่นี้โจมตีจริงบางกรณี แต่ข้อมูลส่วน CISA ADP ในระเบียน CVE ยังระบุ Exploitation: none ณ 13 พฤศจิกายน 2026 ซึ่งต่างจากรายงานผู้ผลิต
ช่องโหว่นี้ ยังไม่อยู่ใน KEV ฉบับ 10 พฤศจิกายน 2026 ตามJSON ที่ CISA เผยแพร่ในคลังทางการ เลยไม่มีวันเพิ่มรายการหรือกำหนดแก้ของ CVE นี้ในฉบับดังกล่าว
ใครโดนและรุ่นที่แก้
แหล่งข้อมูลระบุขอบเขตต่างกัน: ประกาศ CheckMates ระบุ Management, Multi-Domain, Log Servers และ Security Gateway ตั้งแต่ R80.30 ถึง R82.20 ส่วนระเบียน CVE แจกแจงเพียง Quantum Security Gateway และ Quantum Security Management ในสี่สายรุ่นด้านล่าง หมายเลข Take คือรุ่นย่อยของชุด Jumbo Hotfix Accumulator หรือ JHF
| สายรุ่น | รุ่นที่ระเบียน CVE ระบุว่าได้รับผลกระทบ | JHF ที่เอกสารผู้ผลิตยืนยันว่าแก้แล้ว |
|---|---|---|
| R81.20 | Take 173 หรือต่ำกว่า | Take 174 |
| R82 | Take 130 หรือต่ำกว่า | Take 132 |
| R82.10 | Take 50 หรือต่ำกว่า | Take 52 |
| R82.20 | Take 10 หรือต่ำกว่า | Take 14 |
เอกสารทั้งสี่รายการระบุว่าแก้ CVE-2026-123039 และออกเมื่อ 12 พฤศจิกายน 2026 ถ้าใช้รุ่นเก่าที่ CheckMates ระบุว่าได้รับผลกระทบแต่ไม่มีในตาราง ให้ติดต่อ Check Point Support เพื่อเลือกวิธีแก้ ส่วน Spark Firewalls ผู้ผลิตระบุว่าไม่ได้รับผลกระทบจาก CVE นี้
ต้องทำอะไร
รวบรวมสายรุ่นและหมายเลข Take ของเครื่องที่เกี่ยวข้องให้ครบ แล้วเลือก JHF ที่แก้ CVE นี้ตรงกับสายรุ่น อย่าดูเฉพาะเลข R82 หรือ R81.20 เพราะเครื่องสายรุ่นเดียวกันอาจลง Hotfix ต่างกัน ก่อนติดตั้งควรสำรองข้อมูลและวางแผนตามขั้นตอนผู้ผลิต หลังติดตั้งให้ตรวจว่าแพตช์ลงสำเร็จและบริการยังทำงานได้
Check Point แนะนำให้หยุด dynamic_server และป้องกันไม่ให้เริ่มทำงานอีก ใช้วิธีนี้ได้ถ้าหยุดใช้ Dynamic CLI ได้ ให้ทำตามขั้นตอนใน sk1000362 ระหว่างรอติดตั้ง JHF
อ่านขั้นตอนจากประกาศผู้ผลิต sk1000362 ก่อนหยุดบริการ เพราะมีผลต่อการใช้ Dynamic CLI
ส่วนตัวผมมองว่าควรเร่งแพตช์ทันทีที่จัดช่วงติดตั้งได้ เพราะมีการโจมตีจริงแล้ว ที่มา: CVE-2026-123039 และ Check Point Security Advisory เดี๋ยวกลับมาแก้เพิ่มให้ภายหลังครับ
อยากให้เราทำให้ไหม?
ให้เราช่วยติดตั้ง ตั้งค่า ย้ายระบบ หรือแก้ปัญหาเซิร์ฟเวอร์ เพื่อให้คุณมีเวลาไปทำงานที่สำคัญกว่า
เคยเจองานแบบนี้ไหม? ติดตรงไหน?
มาแลกวิธีกันต่อในบอร์ด LinuxThai
ความคิดเห็น 0
ยังไม่มีความคิดเห็น — เป็นคนแรกเลย