Due vulnerabilità che riguardano prodotti Check Point e UnrealIRCd sono ora nel catalogo Known Exploited Vulnerabilities (KEV) di CISA, in seguito a prove di sfruttamento attivo. L'avviso del 13 novembre 2026 indica come prioritaria la correzione per le organizzazioni interessate, compresi gli operatori di gateway Check Point esposti a una catena di attacchi segnalata che ha portato alla distruzione di dati.
La vulnerabilità di Check Point, CVE-2026-123039, consente a un attaccante che dispone già di un accesso locale autenticato a basso privilegio di ottenere il controllo come root. La vulnerabilità di UnrealIRCd, CVE-2026-114713, consente a un normale utente IRC di eseguire comandi con privilegi a livello di server su reti in cui sono collegati almeno due server. Entrambe hanno punteggi CVSS di gravità elevata; è la prova dello sfruttamento raccolta da CISA ad aver motivato l'inserimento nel catalogo KEV.
L'escalation su Check Point segue la compromissione di un portale
Per i Security Gateway e i prodotti di Security Management di Check Point, il componente vulnerabile è il daemon DynamicCLI in Gaia OS. Security Affairs riporta che il daemon opera come root ma accetta connessioni tramite /tmp/dynamic_socket, un socket Unix locale scrivibile da tutti. Un'autenticazione inadeguata dei processi che si connettono permette a un attaccante locale con privilegi bassi di eseguire comandi arbitrari come root. CVE-2026-123039 ha un punteggio CVSS di 7,8.
Gli attacchi segnalati contro gateway non aggiornati combinano questa escalation con un punto d'ingresso separato. Citando Check Point Research, Security Affairs descrive attaccanti che sfruttano le vulnerabilità PHP2Shell, CVE-2026-109618 e CVE-2026-109619, attraverso il portale Mobile Access, per poi usare CVE-2026-123039 per ottenere i privilegi di root.
Una volta ottenuto questo controllo, gli attaccanti installano webshell e il backdoor TSGA per mantenere l'accesso, quindi si spostano nelle reti interne. Alcuni attacchi hanno inoltre usato il wiper destroy_v6 contro host VMware ESXi per cancellare dati.
Le organizzazioni israeliane sono state i primi bersagli della campagna, il 30 ottobre 2026, e alcune hanno subito attacchi distruttivi. Un'ulteriore ondata iniziata il 2 novembre ha colpito organizzazioni in diversi Paesi e settori.
Security Affairs riporta anche la cautela di Check Point sull'attribuzione. Somiglianze nel codice e nell'infrastruttura collegano il malware a PhiliKit, un framework già associato al gruppo UNC5221, legato alla Cina. Check Point ritiene però che le prove non siano sufficienti per attribuire l'intera campagna a quel gruppo. Restano possibili spiegazioni la collaborazione tra attori diversi e un'operazione sotto falsa bandiera.
UnrealIRCd espone le operazioni IRC privilegiate
L'intervallo di versioni interessato va dalla 6.0.0 fino a prima della 6.2.7.1. CVE-2026-114713, con un punteggio di 8,6 sulla scala CVSS, riguarda il modulo labeled-response del server IRC open source.
Il modulo inserisce un tag IRCv3 label nelle risposte del server senza sanificarlo correttamente. Un attaccante può usare quel tag per inserire caratteri di a capo e comandi aggiuntivi nel traffico scambiato tra i server. Con almeno due server collegati tra loro, un utente non ha bisogno di privilegi speciali perché quei comandi vengano eseguiti con autorità a livello di server.
Tale autorità potrebbe consentire il controllo amministrativo della rete IRC, con la possibilità di disconnettere o bannare utenti, manipolare utenti e canali e interrompere i servizi. Secondo Security Affairs, il manutentore di UnrealIRCd ha confermato tentativi di sfruttamento su internet subito dopo la divulgazione. Non è stato però identificato pubblicamente alcun attaccante, né è emerso un legame confermato con una campagna specifica o con un movente economico.
Dare priorità alla correzione e verificare le compromissioni
L'avviso di CISA rivolge alle agenzie federali la Binding Operational Directive 26-04. La direttiva richiede alle Federal Civilian Executive Branch (FCEB) agencies di dare priorità alla rapida correzione delle vulnerabilità inserite nel catalogo KEV sugli asset esposti pubblicamente, quando lo sfruttamento concede il controllo totale, rinviando quelle a rischio più basso. Stabilisce inoltre che, prima di applicare le patch, si verifichi se un asset sia stato compromesso.
Security Affairs riporta il 16 novembre 2026 come scadenza per la correzione di queste due falle. Tale obbligo federale riguarda le agenzie interessate e non impone una scadenza a ogni organizzazione.
Gli amministratori responsabili dei sistemi Check Point e delle reti UnrealIRCd interessati dovrebbero dare priorità alla correzione, come raccomanda CISA a tutte le organizzazioni. Le agenzie federali destinatarie devono inoltre applicare i requisiti della direttiva per verificare se gli attaccanti abbiano ottenuto accesso prima dell'installazione delle patch.
