Check Point ئوت تاملىرىدىكى نۆلىنچى كۈن ئاجىزلىقىغا ھۇجۇم قىلىندى

تور بىخەتەرلىكى شىركىتى Check Point 12-نويابىر كۈنى ئۆز ئۈسكۈنىلىرىنىڭ مەشغۇلات سىستېمىسى Gaia OS دىكى بىر ئاجىزلىقنىڭ ئەمەلىي ھۇجۇمدا ئىشلىتىلگەنلىكىنى ئېلان قىلىپ، جىددىي تۈزىتىش (hotfix) چىقاردى. CVE-2026-123039 نومۇرلۇق بۇ ئاجىزلىق ئارقىلىق ئۈسكۈنىگە كىرىپ بولغان ھۇجۇمچى ئەڭ يۇقىرى ھوقۇق — root ھوقۇقىغا ئېرىشەلەيدۇ. CVSS نومۇرى 7.8 (يۇقىرى). ئامېرىكا تور بىخەتەرلىكى ۋە ئۇل ئەسلىھە بىخەتەرلىكى ئىدارىسى (CISA) 13-نويابىر كۈنى ئۇنى «ئەمەلىيەتتە پايدىلىنىلغان ئاجىزلىقلار» تىزىملىكى (Known Exploited Vulnerabilities, KEV) گە قوشتى.

ئاجىزلىق نېمە؟

Check Point نىڭ چۈشەندۈرۈشىچە، Gaia OS دىكى كېڭەيتىلگەن بۇيرۇق قۇرى (Dynamic CLI) نى root ھوقۇقىدا ئىجرا بولىدىغان dynamic_server جەريانى (process) باشقۇرىدۇ. ئۇ /tmp/dynamic_socket دېگەن يەرلىك ئالاقە ئېغىزى (IPC socket) ئارقىلىق بۇيرۇق قوبۇل قىلىدۇ. ئاجىزلىقى بار نەشرلەردە بۇ ئېغىزغا ھەممە ئادەم يازالايدۇ (0777)، ئۇلانغان جەريان تەكشۈرۈلمەيدۇ، شۇڭا سىستېمىغا كىرگەن ھەر قانداق ئىشلەتكۈچى بىرلا تەلەپ بىلەن ئۆز بۇيرۇقىنى root سۈپىتىدە ئىجرا قىلدۇرالايدۇ.

بۇ يەرلىك ھوقۇق ئۆستۈرۈش (local privilege escalation) ئاجىزلىقى بولغاچقا، ھۇجۇمچى ئالدى بىلەن ئۈسكۈنىدە كود ئىجرا قىلالايدىغان بولۇشى كېرەك.

ھۇجۇم قانداق بولدى؟

• Check Point Research نىڭ دوكلاتىچە، ھۇجۇمچىلار ئالدى بىلەن Mobile Access پورتالىدىكى PHP2Shell ئاجىزلىقى (CVE-2026-109618، CVE-2026-109619) ئارقىلىق ئىچكىرىگە كىرگەن، ئاندىن CVE-2026-123039 بىلەن root ھوقۇقىغا ئېرىشكەن.
• ھۇجۇم 30-ئۆكتەبىردىن 4-نويابىرغىچە كۆرۈلگەن. شىركەتنىڭ دېيىشىچە، بىر رايوندىكى «بىر نەچچە ئون» تۈزىتىلمىگەن سىستېما بۇزۇلغان. PHP2Shell نىڭ تۈزىتىشى 23-ئۆكتەبىردىن بېرى بار ئىدى.
• BleepingComputer نىڭ خەۋىرىچە، ھۇجۇمچىلار web shell، TSGA ئارقا ئىشىكى (backdoor) ۋە TSProxy زىيانلىق يۇمشاق دېتالىنى قاچىلىغان، ئاندىن VMware ESXi مۇلازىمېتىرىغا ئۆتۈپ، سانلىق مەلۇماتنى ئۆچۈرىدىغان (wiper) زىيانلىق پروگرامما ئىشلەتكەن.
• Check Point نىڭ ئېيتىشىچە، ئاز ساندىكى ھۇجۇملار بۇزغۇنچىلىق خاراكتېرلىك بولۇپ، ئىدىيەۋى مەقسەتتە ئېلىپ بېرىلغان؛ ئۇلار پۇل تەلەپ قىلمايدىغان «Dream Annexation» دېگەن خەت قالدۇرغان.

قايسى نەشرلەر خەتەرلىك؟

تەسىرگە ئۇچرايدىغان مەھسۇلاتلار: Force ئوت تاملىرى، Management ۋە Log مۇلازىمېتىرلىرى، Multi-Domain Security Management ۋە Maestro Orchestrator. نەشرلەر: R81، R81.10، R81.20، R82، R82.10 ۋە R82.20. Spark ئوت تاملىرى ۋە Smart-1 Cloud نىڭ خەتىرى يوق.

نېمە قىلىش كېرەك؟

1. نويابىر Jumbo Hotfix نى ئورنىتىڭ: R82.20 ئۈچۈن Take 14، R82.10 ئۈچۈن Take 52، R82 ئۈچۈن Take 132، R81.20 ئۈچۈن Take 174 ياكى ئۇنىڭدىن يېڭىسى. R81 ۋە R81.10 نىڭ قوللىشى ئاخىرلاشقان.
2. دەرھال يېڭىلىيالمىسىڭىز، dynamic_server جەريانىنى توختىتىپ، قايتا قوزغالماس قىلىڭ (بۇ چاغدا Dynamic CLI بۇيرۇقلىرى ئىشلىمەيدۇ).
3. /var/log/dynamicCli.log خاتىرىسىدە نورمال Clish ئورامىسىنى ئىشلەتمىگەن بۇيرۇقلارنى ئىزدەپ، ھۇجۇم ئىزىنى تەكشۈرۈڭ. Check Point بۇ توغرۇلۇق تەپسىلىي كۆرسەتمە ۋە ھۇجۇم بەلگىلىرى (IOC) نى ئېلان قىلدى.

ئوت تام ۋە VPN ئۈسكۈنىلىرى تورنىڭ ئىشىكى بولغاچقا، ھۇجۇمچىلار ئۇلارنى داۋاملىق نىشان قىلىۋاتىدۇ. بۇ ۋەقە تۈزىتىشنى بىر ھەپتە كېچىكتۈرۈشنىڭمۇ ئېغىر ئاقىۋەت ئېلىپ كېلىدىغانلىقىنى يەنە بىر قېتىم ئەسكەرتىدۇ.