Check Point güvenlik duvarlarında root yetkisi açığı istismarda

Check Point, güvenlik duvarları ve yönetim sunucularında çalışan Gaia işletim sisteminde aktif olarak istismar edilen bir yetki yükseltme açığını yamaladı. CVE-2026-123039 kodlu açık, saldırganların cihaz üzerinde root yetkisi elde etmesine ve kalıcı arka kapı bırakmasına imkân veriyor.

Olay nedir?

Açık, Gaia'nın Dynamic CLI arayüzünü sunan ve root yetkisiyle çalışan bileşende bulunuyor. Bu bileşen, cihaz üzerindeki herhangi bir programdan gelen komutları, komutu kimin gönderdiğini doğrulamadan kabul ediyor. Sonuç olarak cihazda sınırlı erişimi olan bir saldırgan, komutlarını root yetkisiyle çalıştırabiliyor. Açık ITdaily'nin aktardığına göre CVSS 7.8 olarak puanlanıyor.

Tek başına uzaktan sömürülebilen bir açık değil; saldırganın önce başka bir yolla cihaz üzerinde kod çalıştırabilmesi gerekiyor. Check Point Research'ün tespit ettiği saldırılarda bu giriş noktası, yaması geçilmemiş Security Gateway cihazlarının Mobile Access portalı oldu. Saldırganlar portal üzerinden içeri girdikten sonra bu açıkla root yetkisi alıp arka kapı yerleştirdi; bazı vakalarda VMware ESXi sunucularındaki dosyaları da sildiler. İlk dalga 30 Ekim 2026'da, ikinci dalga 2 Kasım 2026'da farklı ülkelerden kurumları hedef aldı.

Neden önemli?

Etkilenen ürünler arasında Force güvenlik duvarları, yönetim ve log sunucuları, Multi-Domain Security Management, Multi-Domain Log Server ve Maestro Orchestrator yer alıyor. Etkilenen sürümler R82.20, R82.10, R82, R81.20, R81.10 ve R81. Spark güvenlik duvarları ve Smart-1 Cloud etkilenmiyor.

Düzeltmeler Jumbo Hotfix Accumulator paketleriyle dağıtılıyor: R82.20 için Take 14, R82.10 için Take 52, R82 için Take 132 ve R81.20 için Take 174. Dikkat edilmesi gereken nokta şu: R81.10 ve R81 sürümlerinin desteği sona erdiği için bu sürümlere yama yayımlanmadı. ABD'li siber güvenlik ajansı CISA da açığı 13 Kasım 2026'da aktif olarak istismar edilen zafiyetler kataloğuna (KEV) ekledi.

Türkiye ve KOBİ tarafındaki karşılığı

Türkiye'de kurumsal ölçekli güvenlik duvarları, bir kez kurulduktan sonra yıllarca aynı yazılım sürümüyle çalışmaya devam ediyor. Jumbo Hotfix paketleri çoğu kurumda otomatik uygulanmıyor; bunun için bilinçli bir bakım penceresi planlamak gerekiyor. Destek süresi dolmuş sürümlerde çalışan cihazlar ise yama alamayacağı için doğrudan donanım veya sürüm yükseltme konusu haline geliyor.

Bu saldırının en kritik yanı, yamanın tek başına yeterli olmaması. Saldırgan daha önce içeri girip arka kapı bıraktıysa, güncelleme bu arka kapıyı kaldırmıyor. Kişisel veri barındıran sistemlere yetkisiz erişim tespit edilmesi durumunda 6698 sayılı Kanun kapsamında Kurula 72 saat içinde ihlal bildirimi yapma yükümlülüğü doğuyor.

Kamer Bilişim olarak ne öneriyoruz?

• Güvenlik duvarınızın sürümünü ve Jumbo Take seviyesini kontrol edin. Check Point kullanıyorsanız yönetim arayüzünden mevcut sürümü doğrulayın ve ilgili Jumbo Hotfix paketini planlı bir bakım penceresinde uygulayın. Hemen yama yapılamıyorsa, Dynamic CLI arka plan bileşeni geçici olarak devre dışı bırakılabilir; bu durumda bazı ek komutlar çalışmaz.
• Yamadan sonra uzlaşma izi arayın. Dynamic CLI günlüğü, bileşene gönderilen komutları kaydediyor. Kullanıcı oluşturan veya dosya indiren komutlar incelenmeli. Check Point Research saldırgan IP adreslerini, dosya adlarını ve hash değerlerini yayımladı; bu listelerle log taraması yapılabilir.
• Destek süresi dolmuş cihazları envanterden çıkarın. R81.10 ve R81 gibi destek dışı sürümler yama almayacağı için her yeni açıkta savunmasız kalır. Kurumsal bakım anlaşması kapsamında cihaz sürüm envanterinizi tutuyor, üretici duyurularını ve CISA KEV listesini sizin adınıza takip ediyoruz.

Güvenlik duvarınızın güncel olup olmadığından emin değilseniz mevcut yapınızı birlikte gözden geçirelim. İstanbul Anadolu Yakası genelinde yerinde, diğer bölgelerde uzaktan destek veriyoruz. Bize iletişim sayfamızdan ulaşabilirsiniz.

Kaynak: ITdaily, CISA Known Exploited Vulnerabilities Catalog, Check Point Research