发生了什么
2026 年 11 月 13 日，CISA 把 Check Point Gaia 提权漏洞 CVE-2026-123039 列入已知被利用漏洞（KEV）目录，联邦机构须在 2026 年 11 月 16 日前完成修复，并开展取证分类。该漏洞是 11 月 12 日 Check Point 确认的 PHP2Shell 在野利用链中的提权环节：攻击者先通过暴露在互联网上的安全网关 Mobile Access Portal 利用 PHP2Shell（CVE-2026-109618、CVE-2026-109619）获得初始访问，再用本漏洞提升到 root 权限并建立持久化。利用活动从 10 月 30 日持续到 11 月 4 日，数十台未打补丁的系统被攻陷。
漏洞本身：Gaia 操作系统的 Dynamic CLI 服务（dynamic_server）以 root 身份运行，并监听一个全局可写的本地套接字，且不验证连接进程的身份；经本地认证的用户可向该套接字发送命令并以 root 权限执行。CVSS 7.8。
受影响范围与修复版本
受影响：Gaia R82.20、R82.10、R82、R81.20。
修复版本：11 月 Jumbo Hotfix 各版本 Take：R82.20 Take 14 及以后、R82.10 Take 52 及以后、R82 Take 132 及以后、R81.20 Take 174 及以后（对应厂商 SK 文章 sk1000362）。同一热修复还包含 PHP2Shell（CVE-2026-109618、CVE-2026-109619）与 HTTP2Shell / Node2Shell（CVE-2026-111497，Brotli 解码漏洞）的修复。
厂商建议：在全部管理服务器与安全网关上尽快安装 11 月 Jumbo Hotfix，优先升级暴露在互联网上的 Mobile Access 部署。
自查步骤
- 安装 11 月 Jumbo Hotfix：管理服务器与安全网关全部升级，并按各自版本核对 Take 号达到上述修复版本；优先处理暴露在互联网上的 Mobile Access 部署。
- 核对暴露时间窗：重点核查 10 月 30 日至 11 月 4 日期间的网关日志，确认 Mobile Access Portal 是否曾暴露且未打补丁。
- 核查厂商公布的入侵指标：扫描来源地址 130.94.19.204、130.94.19.168；PHP 会话文件中是否含有 upload_progress_pwn 字符串；是否存在伪装成 Check Point 组件的 CPconfigdaemon 命名进程；/tmp 或 /temp 下是否出现含 scanner 或 wiper 字样的文件；是否存在引用“Dream Annexation”且无赎金要求的说明文件；防火墙流量日志是否在日志守护进程崩溃后出现无法解释的空白。出现任一匹配都应立即深入调查；没有匹配也不能完全排除被攻陷。
- 暂时无法安装热修复时的缓解措施：若可以接受失去 Dynamic CLI 功能，按厂商 SK 文章 sk1000362 的指引停止 dynamic_server 进程并防止其重启；同时尽快安排安装热修复。
- 核查横向移动迹象：调查报告称攻击者曾从网关经 SSH 转向 VMware ESXi 主机并部署破坏工具；除网关本身外，也应核查内网主机与虚拟化平台是否存在异常。
- 已确认被攻陷的系统：仅打补丁不够，应按厂商事件响应流程隔离、保留证据并重建。
当前状态
截至北京时间 2026 年 11 月 14 日 03:13 核查：CVE-2026-123039 已于 2026 年 11 月 13 日列入 CISA KEV（联邦修复期限 2026 年 11 月 16 日）；PHP2Shell 的两个 CVE 已于 10 月 26 日列入 KEV（联邦修复期限 10 月 29 日已过）。本栏目 11 月 13 日已发布 Check Point 利用链指南，本文为 CVE-2026-123039 进 KEV 的跟进。后续如厂商发布进一步更新，将另行跟进。
来源：CISA KEV 官方数据（2026.11.13 版）、Check Point 官方安全公告（2026 年 11 月 12 日发布）、Check Point Research 技术分析。