Взлом межсетевого экрана Check Point обернулся проникновением во внутреннюю сеть и атакой на сервер VMware ESXi с помощью уничтожающего данные вредоноса. Компания раскрыла цепочку атак, в которой злоумышленники использовали уязвимости PHP2Shell и ранее неизвестную ошибку DynamicCLI в операционной системе Gaia. По сведениям разработчика, пострадали около двух десятков клиентов.
Атаки начались 30 октября 2026 года, спустя неделю после выхода исправлений для PHP2Shell. Первую волну сопровождали отдельные случаи уничтожения данных. Со 2 ноября злоумышленники расширили географию сканирования, затронув организации разных стран и отраслей. Признаков разрушительных действий во второй волне не обнаружили. Наблюдаемая активность продолжалась до 4 ноября.
Первоначальное проникновение обеспечивали две критические ошибки PHP, CVE-2026-109618 и CVE-2026-109619, с оценками CVSS 9,2. Через уязвимый портал Mobile Access атакующие запускали код без авторизации. Затем применяли CVE-2026-123039, повышая привилегии служебной учётной записи до root. Последняя ошибка получила 7,8 балла CVSS.
Причиной CVE-2026-123039 стал механизм обмена командами DynamicCLI. Служба dynamic_server работает с правами root и принимает обращения через локальный сокет /tmp/dynamic_socket, доступный для записи другим процессам. Проверка полномочий отправителя отсутствовала, поэтому пользователь с ограниченными локальными правами мог передавать привилегированные команды. Для самостоятельной удалённой атаки ошибка не предназначена.
Получив полный контроль над шлюзом, злоумышленники разместили PHP-веб-шеллы и установили бэкдор TSGA со скрытым сетевым компонентом TSProxy. Вредонос позволял сохранять доступ после перезагрузки, собирать конфигурацию и вмешиваться в журналы межсетевого экрана. Затем атакующие просканировали внутреннюю сеть, подключились к VMware ESXi по SSH и запустили программу destroy_v6, которая перезаписывала и удаляла файлы.
Уязвимость DynamicCLI затрагивает шлюзы, серверы управления и журналирования Check Point, включая Multi-Domain и некоторые масштабируемые платформы. В официальном перечне указаны Gaia R81.20, R82, R82.10 и R82.20, а расширенный бюллетень охватывает более ранние выпуски. Устройства Spark не подвержены трём новым ошибкам, однако остаются уязвимыми к PHP2Shell без соответствующего обновления.
Ноябрьский Jumbo Hotfix также исправляет CVE-2026-107484 с оценкой 7,3 в обработчиках Gaia Portal и CVE-2026-120490 с оценкой 3,8, позволяющую обойти сетевые ограничения через NAT. Подтверждённой эксплуатации двух ошибок нет. В обновление вошли исправления PHP, Linux и Node.js, включая ранее выявленные проблемы удалённого исполнения кода.
Check Point рекомендовала установить актуальные Jumbo Hotfix на шлюзы и серверы управления. Временная защита от CVE-2026-123039 предусматривает остановку dynamic_server с потерей функций DynamicCLI. 13 ноября CISA внесло уязвимость в каталог KEV, подтвердив статус активно эксплуатируемой проблемы. Для проверки компрометации опубликованы сетевые индикаторы и признаки работы бэкдора.
