CISA incorporó el 13 de noviembre de 2026 a su catálogo de vulnerabilidades explotadas (KEV) la CVE-2026-123039, una escalada de privilegios local a root en Check Point Gaia OS. Check Point ya publicó correcciones y reporta que observó explotación real contra unas dos docenas de clientes. Para las agencias federales de EE. UU. el plazo de remediación vence el 16 de noviembre; para el resto de las organizaciones es una buena señal de prioridad.
El problema está en el demonio DynamicCLI de Gaia OS. Según el aviso del fabricante (sk1000362), el proceso corre con privilegios de root y escucha en un socket local con permisos abiertos a cualquier usuario, sin verificar quién se conecta. Un usuario local autenticado puede enviarle una solicitud y lograr que el comando se ejecute como root. CISA lo clasifica como asignación incorrecta de permisos sobre un recurso crítico (CWE-732) y falta de autorización (CWE-862). Check Point le asigna un CVSS de 7.8.
