Зловмисники використовують вразливості PHP2Shell для атак на шлюзи Check Point

З 30 жовтня 2026 року зафіксовано серію кібератак на вразливі шлюзи безпеки Check Point Security Gateway. Зловмисники використовують вразливості PHP2Shell, відомі як CVE-2026-109618 та CVE-2026-109619, для отримання несанкціонованого віддаленого доступу до систем через портали Mobile Access. У межах кампанії хакери також застосовували нову вразливість нульового дня CVE-2026-123039 для підвищення привілеїв до рівня root.

Про це повідомляє BleepingComputer з посиланням на research.checkpoint.com

Перша хвиля атак була спрямована проти ізраїльських організацій, тоді як 2 листопада розпочалася друга хвиля, що торкнулася компаній у різних країнах та галузях. У ході атак на ізраїльські об’єкти зловмисники переміщувалися від шлюзів до серверів VMware ESXi, де розгортали програму для знищення даних під назвою destroy_v6.

Нападники залишили на хостах ESXi файл під назвою DREAM_ANNEXATION.txt, який містить політичні повідомлення та прямо відхиляє будь-які переговори про викуп, що свідчить про намір завдати шкоди та порушити роботу систем.

— Check Point

Дослідники припускають, що використані інструменти, зокрема бекдор TSGA та мережевий компонент TSProxy, можуть бути пов’язані з фреймворком PhiliKit, який раніше приписували китайському угрупованню UNC5221. Проте однозначна атрибуція наразі неможлива через брак доказів. Повідомляється, що друга хвиля атак не супроводжувалася деструктивними діями.

Компанія Check Point наполегливо рекомендує встановити останній Jumbo Hotfix для всіх серверів управління та шлюзів безпеки. Адміністраторам слід перевірити системи на наявність слідів компрометації, таких як несанкціонована SSH-активність, підозрілі процеси або прогалини у логах брандмауера.