Es gibt eine neue Sicherheitswarnung für viele Firewalls und Managementsysteme von Check Point. Angreifer kombinieren mehrere Sicherheitslücken: Zuerst verschaffen sie sich Zugriff auf Security Gateways, die nicht ausreichend aktualisiert sind. Danach erlangen sie auf den betroffenen Geräten volle Root-Rechte.
Besonders gefährlich ist die bestätigte Angriffskette aus PHP2Shell und CVE-2026-123039. Check Point berichtet bereits von erfolgreichen Kompromittierungen, dauerhaft installierten Hintertüren und sogar zerstörerischen Angriffen auf VMware-ESXi-Server. Am 13. November 2026 hat die US-Sicherheitsbehörde CISA die lokale Rechteausweitung in ihren Katalog der aktiv ausgenutzten Sicherheitslücken aufgenommen.
Admins sollten deshalb sofort handeln. Wir erklären dir die technischen Hintergründe, nennen die betroffenen Check-Point-Versionen und fassen die vom Hersteller dokumentierten Hotfix-Stände zusammen.
Check Point CVE-2026-123039: Was ist passiert?
Am 12. November 2026 veröffentlichte Check Point neue Erkenntnisse zu Angriffen auf seine Security Gateways. Die Sicherheitsforscher konnten mehrere bereits erfolgreiche Angriffe nachvollziehen, die ursprünglich am 30. Oktober begonnen hatten.
Die Angreifer verwendeten zunächst PHP2Shell, um über die öffentlich erreichbaren Mobile-Access-Portale auf verwundbare Firewalls zuzugreifen. Anschließend nutzten sie CVE-2026-123039, um ihre vorhandenen Berechtigungen auf Root-Rechte zu erweitern.
Am 2. November folgte eine weitere Angriffswelle, die sich gegen Organisationen in mehreren Ländern und unterschiedlichen Branchen richtete. Die dokumentierten Angriffe wurden nach Herstellerangaben bis zum 4. November beobachtet.
Check Point bestätigt, dass in der untersuchten Kampagne einige Dutzend ungepatchte Systeme in einer Region erfolgreich kompromittiert wurden. Daraus lässt sich allerdings keine weltweite Gesamtzahl betroffener Geräte ableiten.
| Merkmal | Bestätigte Informationen |
|---|---|
| Sicherheitslücke | CVE-2026-123039 |
| Hersteller | Check Point |
| Betroffene Komponente | Gaia OS Dynamic CLI |
| CVSS-Bewertung | 7,8 nach CVSS v3.1 |
| Schweregrad | Hoch |
| Angriffstyp | Lokale Rechteausweitung bis Root |
| Aktive Ausnutzung | Vom Hersteller und CISA bestätigt |
| Erste dokumentierte Angriffe | 30.10.2026 |
| Herstellerwarnung | 12.11.2026 |
| CISA KEV-Aufnahme | 13.11.2026 |
| Behördliche US-Abhilfefrist | 16.11.2026 |
| Sicherheitskorrekturen | Verfügbar, abhängig vom Gaia-Zweig |
Die CISA-Frist gilt im Rahmen der entsprechenden US-Bundesvorgaben. Für deutsche Unternehmen ist sie keine allgemeine gesetzliche Frist, verdeutlicht aber die Dringlichkeit.
Wie funktioniert die Schwachstelle CVE-2026-123039?
Die Sicherheitslücke steckt im Dynamic-CLI-Dienst des Gaia-Betriebssystems. Gaia ist die technische Basis mehrerer Check-Point-Sicherheitsprodukte.
Der Dienst nimmt lokale Steuerbefehle über einen Unix-Socket entgegen. Auf anfälligen Systemen war dieser Socket zu weitgehend freigegeben. Zugleich hat der Dienst nicht ausreichend geprüft, welcher lokale Prozess einen Befehl schickt.
Da Dynamic CLI mit Root-Rechten läuft, konnte ein Angreifer, der bereits lokalen Zugriff hatte, Befehle mit höchsten Systemrechten ausführen.
Wichtig ist die Einordnung: CVE-2026-123039 allein ist kein Weg, über den ein beliebiger Internetbesucher ohne vorherigen Zugriff direkt Root-Rechte bekommt. In der dokumentierten Kampagne haben sich die Angreifer zuerst über andere Sicherheitslücken Zugang zum Gateway verschafft.
PHP2Shell ermöglichte den ersten Zugriff
Für den initialen Angriff verwendeten die Täter PHP2Shell. Dahinter stecken die Sicherheitslücken CVE-2026-109618 und CVE-2026-109619, die bereits am 21. Oktober 2026 öffentlich dokumentiert und mit Sicherheitsupdates behandelt wurden.
Beide Schwachstellen erreichen einen CVSS-Wert von 9,2 nach CVSS v4.0. Unter bestimmten Voraussetzungen können sie die Ausführung fremden Programmcodes ohne vorherige Anmeldung ermöglichen.
Check Point bestätigte, dass die Schwachstellen auch die PHP-Komponenten verschiedener Security Gateways betreffen. Das gilt insbesondere für verwundbare Mobile-Access-Portale.
Die Hintergründe zu den beiden PHP-Sicherheitslücken findest Du in unserem bereits veröffentlichten Artikel PHP2Shell: Kritische Sicherheitslücken und offizielle Updates.
Angreifer installieren Hintertüren und attackieren VMware ESXi
Check Point Research konnte nachvollziehen, wie sich eine erfolgreiche Kompromittierung in einzelnen Phasen abgespielt hat. Nachdem die Angreifer Root-Rechte erlangt hatten, brachten sie zusätzliche Schadsoftware auf den betroffenen Gateways unter.
Dazu zählten unter anderem PHP-Webshells und die Hintertür TSGA mit einer eingebauten Proxy-Komponente namens TSProxy. Mit diesen Werkzeugen konnten sich die Angreifer dauerhaft Zugriff auf die kompromittierten Systeme sichern.
Laut den Untersuchungen waren die Schadprogramme außerdem in der Lage, Konfigurationsdaten auszulesen, Netzwerkverbindungen herzustellen und bestimmte Protokolle zu manipulieren.
Auch Virtualisierungsserver waren betroffen
In einer untersuchten Umgebung bewegten sich die Angreifer von der Firewall aus weiter in das interne Netzwerk. Dort gelangten sie über SSH auf einen VMware-ESXi-Host.
Auf diesem Virtualisierungsserver setzten sie eine Schadsoftware mit dem Namen destroy_v6 ein. Dabei handelt es sich um einen sogenannten Wiper, der Dateien und Datenbestände gezielt zerstören kann.
Check Point dokumentiert außerdem eine hinterlassene Nachricht mit dem Dateinamen DREAM_ANNEXATION.txt. Sie enthielt politische Botschaften und keine gewöhnliche Lösegeldforderung.
Die bisher dokumentierten Zerstörungen betreffen einzelne untersuchte Vorfälle. Sie bedeuten nicht, dass jedes ungepatchte Check-Point-Gateway zwangsläufig auch einen VMware-Server gefährdet oder bereits kompromittiert wurde.
Welche Check-Point-Versionen sind betroffen?
Die lokale Rechteausweitung CVE-2026-123039 betrifft verschiedene Check-Point-Produktfamilien mit Gaia OS. Dazu gehören Security Gateways, Management- und Log-Server, Multi-Domain-Systeme und geeignete Scalable Platforms.
Besonders wichtig ist der installierte Gaia-Versionszweig mit dem zugehörigen Jumbo-Hotfix-Stand.
| Gaia-Version | Korrigierter Hotfix-Stand |
|---|---|
| R82.20 | Jumbo Hotfix Take 14 oder neuer |
| R82.10 | Jumbo Hotfix Take 52 oder neuer |
| R82 | Jumbo Hotfix Take 132 oder neuer |
| R81.20 | Jumbo Hotfix Take 174 oder neuer |
| R81.10 | Veralteter Zweig, kein aktueller Fix bestätigt |
| R81 | Veralteter Zweig, kein aktueller Fix bestätigt |
Diese Hotfix-Stände beziehen sich auf die Behebung von CVE-2026-123039, die im Hersteller-Supportartikel sk1000362 dokumentiert ist. Vor der Installation solltest du den aktuellen Herstellerstand noch einmal prüfen. Der Grund: Bei älteren Zwischenversionen nennen einzelne CVE-Datensätze und die Supportdokumentation unterschiedliche Versionsgrenzen.
Check Point führt Spark Firewalls und Smart-1 Cloud nicht als betroffen von dieser konkreten lokalen Dynamic-CLI-Schwachstelle. Wichtig ist aber: Bestimmte Spark-Firewalls können unabhängig davon durch PHP2Shell verwundbar sein.
Eine pauschale Entwarnung für alle Spark-Produkte wäre deshalb falsch. Die PHP2Shell- und die Dynamic-CLI-Schwachstelle musst du getrennt voneinander prüfen.
Check Point Jumbo Hotfix herunterladen
Check Point empfiehlt ausdrücklich, den November Jumbo Hotfix auf betroffenen Management-Servern und Security Gateways zu installieren. Die Installation erfolgt über die offiziellen Check-Point-Wartungswege.
WICHTIGES SICHERHEITSUPDATE
Check Point Gaia Jumbo Hotfix
Sicherheitskorrekturen für die bereits ausgenutzte Schwachstelle CVE-2026-123039.
R82.20: Take 14 oder neuer
R82.10: Take 52 oder neuer
R82: Take 132 oder neuer
R81.20: Take 174 oder neuer
Hersteller: Check Point
Schwachstelle: CVE-2026-123039
CVSS: 7,8 nach v3.1
Herstellerkorrekturen: Seit Oktober 2026 verfügbar
November Jumbo Hotfix: Vom Hersteller empfohlen
Paketgröße: Abhängig von Produkt und Versionszweig
Offiziellen Check Point Sicherheitsfix öffnen
Der Zugriff auf die Hotfix-Dateien kann ein berechtigtes Check-Point-Kundenkonto erfordern. Prüfe die genaue Produktversion, die Voraussetzungen und die aktuelle Freigabe im Herstellerportal. Für Check-Point-Firmware existiert keine Microsoft-KB-Nummer.
Check Point Sicherheitslücke schließen: Schritt für Schritt
Wenn Du Check-Point-Sicherheitsgateways oder Managementserver betreibst, solltest Du zuerst feststellen, ob die betroffenen Produktversionen in Deiner Infrastruktur vorhanden sind.
Schritt 1: Betroffene Systeme ermitteln
- Erstelle eine Übersicht aller eingesetzten Check-Point-Firewalls und Managementserver.
- Kontrolliere die genaue Gaia-Version und den vorhandenen Jumbo-Hotfix-Stand.
- Prüfe, welche Geräte einen öffentlich erreichbaren Mobile-Access-Dienst betreiben.
- Berücksichtige auch Systeme in Außenstellen und virtualisierte Security Gateways.
- Vergleiche den vorhandenen Versionsstand mit der korrigierten Version aus der Hotfix-Tabelle.
Priorisiere insbesondere öffentlich erreichbare Geräte, die Mobile Access verwenden. Bei diesen Systemen konnte Check Point bereits einen erfolgreichen kombinierten Angriff nachweisen.
Schritt 2: Sicherheitsupdate vorbereiten
Bevor du auf einem produktiven Gateway ein Firmwareupdate installierst, solltest du prüfen, ob eine aktuelle Sicherung der Konfiguration vorliegt und welche Wiederherstellungsmöglichkeiten es gibt.
Rechne außerdem mit möglichen Unterbrechungen von VPN-Verbindungen und Firewalldiensten. In Cluster-Umgebungen musst du die vom Hersteller vorgesehenen Upgrade- und Failover-Verfahren beachten.
Lade nur ein Update herunter, das zu deiner jeweiligen Gaia-Version passt. Ein Jumbo Hotfix für R82.10 darf nicht einfach auf einem System mit R81.20 installiert werden.
Schritt 3: Hotfix installieren und überprüfen
- Öffne das Check-Point-Supportportal beziehungsweise den vorgesehenen Installationsweg.
- Wähle das passende Jumbo-Hotfix-Paket aus.
- Kontrolliere die Voraussetzungen und bekannte Einschränkungen der jeweiligen Version.
- Installiere die Aktualisierung während eines geeigneten Wartungsfensters.
- Führe einen erforderlichen Neustart kontrolliert durch.
- Überprüfe anschließend den installierten Hotfix-Stand.
- Teste VPN, Firewallregeln, Protokollierung und wichtige Netzwerkverbindungen.
Auf älteren Gaia-Versionen ohne bestätigten Sicherheitsfix solltest Du die vom Hersteller dokumentierten Übergangsmaßnahmen prüfen und einen Wechsel auf eine unterstützte Version vorbereiten.
Was tun, wenn Check Point bereits kompromittiert wurde?
Ein Sicherheitsupdate verhindert die weitere Ausnutzung der geschlossenen Schwachstelle. Es entfernt jedoch nicht automatisch bereits installierte Hintertüren oder gestohlene Zugangsdaten aus einer kompromittierten Umgebung.
Deshalb ist bei betroffenen Geräten zusätzlich eine Sicherheitsuntersuchung erforderlich. Das gilt besonders dann, wenn ein öffentlich erreichbares Mobile-Access-Portal während des dokumentierten Angriffszeitraums ungepatcht war.
Wichtige Hinweise auf eine Kompromittierung
Check Point Research nennt mehrere Indikatoren, die in den untersuchten Angriffen beobachtet wurden.
| Indikator | Bedeutung |
|---|---|
| 130.94.19.204 | Beobachtete Angriffsadresse |
| 130.94.19.168 | Weitere Angriffsadresse |
| upload_progress_pwn | Auffällige Zeichenfolge in PHP-Sitzungsdaten |
| CPconfigdaemon | Möglicher Hinweis auf die dokumentierte Hintertür |
| slot_CPconfigdaemon | Persistenzkomponente der Schadsoftware |
| DREAM_ANNEXATION.txt | Datei aus der dokumentierten zerstörerischen Angriffsphase |
Ein einzelner Treffer ist noch kein Beweis für einen vollständigen Einbruch. Umgekehrt heißt das aber nicht, dass ein Gateway sicher ist, wenn diese Merkmale fehlen – Angreifer können Spuren verwischen oder Protokolle löschen.
Prüfe deshalb zusätzlich administrative Anmeldungen, ungewöhnliche Prozesse, neue SSH-Verbindungen, Änderungen an Firewallregeln und Zugriffe auf interne Managementsysteme.
Bei begründetem Verdacht solltest du Logdaten und andere Beweise sichern, den Vorfall nach deinem Incident-Response-Verfahren behandeln und bei Bedarf den Check-Point-Support einschalten.
Warum auch Windows-Server und Backups gefährdet sein können
Die beschriebenen Schwachstellen befinden sich nicht direkt in Windows 11 oder Windows Server. Trotzdem können ihre Auswirkungen eine gesamte Unternehmensumgebung betreffen.
Ein kompromittiertes Security Gateway befindet sich häufig an einer besonders sensiblen Position im Netzwerk. Je nach Berechtigungen, Routing und Segmentierung können Angreifer von dort aus versuchen, weitere Systeme zu erreichen.
Die von Check Point dokumentierten Angriffe auf VMware ESXi zeigen, warum auch Virtualisierungshosts, Backupserver und Verwaltungsnetze in eine Untersuchung einbezogen werden sollten.
Besonders wichtig sind getrennte Administrationszugänge, eine sichere Netzwerksegmentierung und Backups, die nicht mit denselben Zugangsdaten wie die produktiven Systeme verändert oder gelöscht werden können.
Warum ein zunächst kleiner Sicherheitsvorfall auch weitreichende Folgen haben kann, haben wir bereits bei cPGuard: Backdoor über manipulierte Updates beschrieben.
Auch unsere Berichte zu aktiv ausgenutzten Ivanti-VPN-Sicherheitslücken und zur SonicWall-Sicherheitslücke CVE-2026-19868 verdeutlichen die Risiken zentraler Zugangssysteme.
Aus der Administratorpraxis: Firewalls benötigen eine eigene Patchstrategie
In vielen Unternehmen laufen Windows-Updates zentral überwacht und werden regelmäßig verteilt. Für Firewalls, VPN-Appliances und andere Netzwerkgeräte gibt es dagegen oft einen eigenen Wartungsprozess.
Dadurch kann es passieren, dass ein Windows-Server längst vollständig gepatcht ist, während das davor stehende Security Gateway noch bekannte Sicherheitslücken hat.
Gerade bei Schwachstellen, die bereits aktiv ausgenutzt werden, sollte deshalb nicht allein die CVSS-Bewertung über die Priorität entscheiden. Wichtiger können die aktuelle Angriffslage, die Netzwerkanbindung und die Berechtigungen des betroffenen Systems sein.
Bei Check Point sieht man das besonders deutlich: CVE-2026-123039 erreicht zwar keine kritischen 9 oder 10 Punkte, wurde aber in einer realen Angriffskette schon erfolgreich ausgenutzt.
Zusätzlich sollten Administratoren darauf achten, dass das Patchmanagement nicht nur die Firewalls selbst abdeckt, sondern auch die zugehörigen Managementserver und die vorhandenen Clusterkomponenten.
FAQ: Häufige Fragen zu Check Point CVE-2026-123039
Was ist CVE-2026-123039?
CVE-2026-123039 ist eine Sicherheitslücke im Gaia-Betriebssystem von Check Point. Sie ermöglicht einem Angreifer mit bereits vorhandenem lokalen Zugriff eine Rechteausweitung bis zum Root-Konto.
Wird die Check-Point-Sicherheitslücke aktiv ausgenutzt?
Ja. Check Point hat erfolgreiche Angriffe bestätigt. Die US-Sicherheitsbehörde CISA führt CVE-2026-123039 seit dem 13. November 2026 in ihrem Katalog nachweislich ausgenutzter Schwachstellen.
Welche Check-Point-Versionen sind betroffen?
Betroffen sind verschiedene Gaia-Versionen, darunter R81.20, R82, R82.10 und R82.20 vor den dokumentierten Sicherheitskorrekturen. Auch ältere, nicht mehr unterstützte Zweige müssen geprüft werden.
Welcher Check-Point-Hotfix behebt CVE-2026-123039?
Check Point dokumentiert korrigierte Jumbo Hotfixes ab R82.20 Take 14, R82.10 Take 52, R82 Take 132 und R81.20 Take 174. Entscheidend ist immer der freigegebene Hotfix für den tatsächlich installierten Versionszweig.
Sind auch Check Point Spark Firewalls betroffen?
Spark Firewalls sind nach Herstellerangaben nicht von der konkreten Dynamic-CLI-Schwachstelle CVE-2026-123039 betroffen. Bestimmte Spark-Versionen können jedoch unabhängig davon für PHP2Shell anfällig sein.
Reicht die Installation des Jumbo Hotfix aus?
Ein Hotfix schließt die dokumentierte Schwachstelle. Wenn ein System bereits angegriffen wurde, können installierte Hintertüren oder gestohlene Zugangsdaten weiterhin ein Risiko darstellen. Deshalb sollte bei Verdacht zusätzlich eine Sicherheitsuntersuchung stattfinden.
Sind Windows 11 und Windows Server direkt betroffen?
Nein. Die Sicherheitslücke betrifft Check-Point-Systeme mit Gaia OS. Windows-Server und andere interne Systeme können jedoch mittelbar gefährdet sein, wenn Angreifer über ein kompromittiertes Gateway in das Unternehmensnetz gelangen.
Fazit: Check Point Hotfix installieren und vorhandene Systeme untersuchen
Der neue Sicherheitshinweis von Check Point zeigt, wie gefährlich es wird, wenn mehrere Schwachstellen zusammenkommen. Die Angreifer haben zuerst PHP2Shell genutzt, danach über CVE-2026-123039 Root-Rechte erlangt und in einzelnen Fällen weitere Server angegriffen.
Seit dem 13. November 2026 führt auch CISA die lokale Rechteausweitung als nachweislich ausgenutzt. Für Betreiber betroffener Check-Point-Systeme heißt das: Sie müssen jetzt handeln.
Prüfe deshalb, welche Gaia-Version installiert ist, spiele den passenden November Jumbo Hotfix ein und schaue besonders gefährdete Systeme auf verdächtige Aktivitäten durch. Ein erfolgreich installiertes Update ist wichtig – bei einem konkreten Verdacht auf eine Kompromittierung ersetzt es aber keine gründliche Sicherheitsanalyse.
Neueste Kommentare