A Check Point avisou seus clientes e liberou correções de emergência para uma brecha de severidade alta nos próprios equipamentos de segurança. Segundo o anúncio da fabricante, o problema já vinha sendo explorado desde o fim de outubro para conseguir o nível máximo de acesso no aparelho, o chamado root, e para continuar lá dentro depois da invasão. A falha recebeu o código CVE-2026-123039 e atinge produtos que ficam exatamente na porta de entrada da rede de muitas empresas brasileiras.
Se você é dono de clínica, de escritório, de loja ou de indústria, a notícia pode parecer distante. Ela não é. O aparelho citado é o mesmo tipo de caixa que separa a sua rede da internet, autentica quem acessa o sistema de fora e controla o que entra e o que sai. Quando uma falha no firewall permite que alguém assuma o comando do próprio equipamento de defesa, a conversa deixa de ser sobre tecnologia e passa a ser sobre continuidade do seu negócio.
O que a fabricante corrigiu às pressas
Em linguagem simples, havia um serviço interno do sistema operacional desses equipamentos, o Gaia OS, que rodava com o poder mais alto possível e aceitava ordens por um canal local sem conferir quem estava do outro lado. Esse canal podia ser escrito por qualquer processo da máquina. O resultado é direto: um usuário já autenticado no aparelho conseguia mandar um comando e vê-lo ser executado como administrador absoluto. A própria Check Point informou ter observado exploração ativa contra algumas dezenas de clientes, sem divulgar nomes.
A lista de produtos afetados inclui o firewall, o Security Gateway, o Security Management Server, o Multi-Domain Security Management Server e as Scalable Platforms. Para quem não pode aplicar a correção imediatamente, a orientação divulgada foi interromper o processo chamado dynamic_server e impedir que ele volte a subir sozinho. A empresa também publicou indicadores de comprometimento e pistas de investigação, como comandos típicos de tentativa de exploração e execuções que não passam pelo invocador padrão do sistema, sinal de que algo rodou com privilégio de administrador por aquele canal.
Por que isso é assunto de dono, e não só de TI
Equipamento de segurança também é software. Ele envelhece, ganha falha e precisa de atualização, exatamente como o sistema da recepção ou o aplicativo do caixa. A diferença é que, quando o problema está nele, quem invade não precisa passar por mais nada, porque já chegou ao ponto de controle. Por isso a manutenção de um firewall corporativo não é um extra que se faz quando sobra tempo. É rotina, com dono e com prazo.
Vale olhar o histórico que a reportagem traz. Em setembro, a mesma fabricante já havia alertado sobre duas outras falhas críticas, uma no Security Management Server e outra no Security Gateway, que permitiam execução remota de código sem exigir qualquer privilégio no sistema atacado. E, nos últimos dois anos, a CISA, agência de cibersegurança dos Estados Unidos, incluiu cinco vulnerabilidades da Check Point no seu catálogo de falhas sob exploração ativa, duas delas também usadas por grupos de ransomware. Não é um episódio isolado, é um ritmo.
O caminho que o invasor percorreu
O relato técnico descreve uma sequência que explica por que uma falha local assusta tanto. Primeiro, os atacantes entraram pelo portal de acesso remoto do equipamento, o Mobile Access, aproveitando as vulnerabilidades conhecidas como PHP2Shell. Depois, usaram a brecha nova para subir de nível e virar administradores absolutos do aparelho. Em seguida, deixaram páginas de controle escondidas, as webshells, e instalaram dois programas maliciosos, o TSGA, que mantém a porta aberta, e o TSProxy, que disfarça o tráfego, ambos já vistos em ataques contra equipamentos Ivanti.
A partir do gateway dominado, o grupo pulou para um servidor de virtualização VMware ESXi e soltou um programa de destruição, do tipo que apaga dados em vez de pedir resgate. Traduzindo para o seu dia: o servidor que hospeda o sistema de gestão, o prontuário, a emissão de nota e os arquivos da equipe desaparece de uma vez. Não há negociação, não há chave de recuperação, não há amanhã combinado com o criminoso. O que sobra é o que você tiver guardado longe dali.
Sete perguntas para levar ao responsável de TI
Você não precisa entender de socket nem de privilégio de processo para cobrar o que importa. Precisa fazer as perguntas certas e anotar as respostas com data.
- Qual é o modelo e a versão do equipamento que protege a nossa rede hoje?
- Quando foi aplicada a última atualização de segurança nele?
- Quem na nossa equipe recebe os avisos do fabricante e quem decide aplicar?
- Quanto tempo levamos, na prática, para instalar uma correção de emergência?
- O acesso remoto exige segundo fator de autenticação para todo mundo?
- Guardamos registro de quem entrou, de onde e a que horas?
- Quando foi o último teste de restauração do backup, e o que voltou de verdade?
Se alguma resposta vier como acho que, você acabou de encontrar o ponto mais frágil da sua operação. E ele não se conserta com susto, se conserta com processo.
O que precisa estar pronto antes do próximo aviso
Nenhuma empresa controla o calendário das falhas dos fabricantes. O que ela controla é o tempo de reação e o tamanho do estrago. Três frentes fazem essa diferença.
Alguém olhando todos os dias
Correção de emergência só vale se alguém lê o aviso, testa e aplica. É para isso que existe monitoramento 24 horas: um alerta publicado fora do horário comercial não espera a segunda-feira de manhã, e movimento estranho no equipamento vira chamado em vez de passar batido.
Rede dividida em compartimentos
O salto do equipamento de borda para o servidor de virtualização só é fácil quando tudo conversa com tudo. Rede segmentada, acesso administrativo separado do acesso do dia a dia e permissão mínima para cada perfil transformam uma invasão em incidente localizado, e não em parada geral.
Backup que já foi restaurado
Contra programa de destruição, a resposta é cópia íntegra em outro lugar, fora do alcance da mesma senha de administrador, com restauração testada em prazo conhecido. Backup que nunca voltou é promessa, não é plano. Teste em dia tranquilo, com cronômetro, e registre quanto tempo levou para o sistema estar no ar de novo.
Fonte: BleepingComputer — Check Point warns of zero-day flaw exploited for root access, novembro de 2026.
A pergunta que fica não é se o próximo aviso de falha vai chegar, porque vai. É se a sua empresa vai descobrir pelo fabricante, pelo seu time de TI ou pelo cliente que ligou dizendo que o sistema não abre.
A Ragnatela é especialista em firewall e em cibersegurança: cuidamos do equipamento de borda, da atualização, do segundo fator no acesso remoto e do registro de quem entra na sua rede, com backup testado por trás. Se você não sabe responder às sete perguntas acima, fale com a gente e vamos olhar juntos a sua estrutura.
Perguntas frequentes
Minha empresa não usa Check Point. Esse alerta serve para mim?
Serve. O ponto não é a marca, é o fato de todo equipamento de borda ser software e depender de atualização, de segundo fator no acesso remoto e de alguém acompanhando os avisos do fabricante. Troque o nome do produto e as perguntas continuam as mesmas.
O que é uma falha de dia zero?
É uma brecha que começa a ser explorada antes de existir correção disponível. Foi o caso descrito pela Check Point, que precisou liberar correções de emergência depois de identificar ataques já em andamento.
Não consigo atualizar agora. Existe medida provisória?
A orientação divulgada pela fabricante para quem não pode aplicar a correção na hora é parar o processo dynamic_server e impedir que ele suba novamente. É paliativo, e a correção definitiva continua necessária.
Backup resolve um ataque que apaga os dados?
Reduz o estrago, desde que a cópia esteja em outro lugar, não dependa da mesma credencial de administrador e já tenha sido restaurada em teste. Backup nunca testado não conta como plano de recuperação.
Quem deve cuidar da atualização do firewall na minha empresa?
Alguém com nome, prazo e registro do que foi feito, interno ou terceirizado. O dono não precisa executar, precisa saber quem executa, quando executou e como isso é comprovado.
