Veille menaces / Attaque
Passerelles Check Point : PHP2Shell pour entrer, root, puis un effaceur de données chez des organisations israéliennes
Check Point Research indique que des attaquants sont entrés dans des portails Check Point Mobile Access grâce à PHP2Shell, deux failles critiques de PHP, à partir du 30 octobre 2026, environ une semaine après la sortie d'un correctif. Ils ont ensuite utilisé une faille de Check Point (CVE-2026-123039) pour obtenir les droits root sur les passerelles. Check Point dit avoir vu cette faille activement exploitée chez « deux douzaines de clients ». Une première vague a visé des organisations israéliennes, avec des destructions chez certaines d'entre elles : un effaceur de données déposé sur un hôte VMware ESXi. Une seconde vague, à partir du 2 novembre, a visé des organisations dans plusieurs pays, sans destruction constatée. Check Point ne peut pas dire avec certitude qui est derrière.
- Secteur
- Tous secteurs
- Point d'entrée
- Faille logicielle
- Produit ou fournisseur
- Check Point Security Gateway, Check Point Mobile Access, PHP, VMware ESXi
- clients de Check Point chez qui la faille root a été vue activement exploitée (« deux douzaines »)[2]
- ~24
- Comment c'est arrivé
- Selon Check Point Research, l'accès initial s'est fait par PHP2Shell (CVE-2026-109618 et CVE-2026-109619), deux failles critiques d'exécution de code à distance dans PHP, corrigées le 21 octobre selon SecurityWeek, exploitées sur des portails Mobile Access. Les attaquants ont ensuite utilisé CVE-2026-123039, une élévation de privilèges locale dans le processus DynamicCLI de Check Point, via un socket de contrôle accessible en écriture à tous, qui permet à « tout utilisateur local authentifié » d'exécuter des commandes en root. Ils ont laissé des webshells dans les modèles du portail et la porte dérobée TSGA avec son composant TSProxy. Dans les cas destructeurs, un effaceur Linux appelé destroy_v6 a été déposé sur un hôte VMware ESXi par SSH, avec le compte vpxuser.[1][2][3] Vérifié le 13 nov. 2026
- Ce qui a été volé
- Pas encore public Vérifié le 13 nov. 2026
- Qui est touché
- Les clients de Check Point qui utilisent Mobile Access sur des passerelles concernées. Check Point a vu CVE-2026-123039 exploitée chez « deux douzaines de clients ». La première vague a visé des organisations israéliennes, dont certaines ont subi des destructions ; la seconde a visé des organisations dans plusieurs pays. Selon Check Point, « aucune des deux vagues n'a montré de préférence claire pour un secteur ». Aucune victime n'a été nommée.[1][2] Vérifié le 13 nov. 2026
- Acteur
- Non attribué. Non attribué. Check Point écrit que les éléments ne lui permettent pas d'évaluer avec un haut niveau de confiance la vraie nature de l'opération, et envisage plusieurs scénarios, dont un courtier d'accès ou une fausse piste. Les outils TSGA et TSProxy appartiennent à la famille PhiliKit, qu'ESET relie au groupe UNC5221, lié à la Chine ; Check Point estime que les destructions et la note en hébreu laissée par l'effaceur ne correspondent pas vraiment aux groupes chinois connus.
- CVE
- CVE-2026-109618, CVE-2026-109619, CVE-2026-123039
Chronologie
- Les failles PHP2Shell sont corrigées, selon SecurityWeek. [3]
- Premiers signes d'exploitation sur des passerelles Check Point Mobile Access, selon Check Point Research. Cette première vague vise des organisations israéliennes, avec des destructions chez certaines d'entre elles. [1]
- Une seconde vague vise des organisations de plusieurs pays et secteurs ; Check Point n'y a pas constaté de destruction. [1]
- Check Point publie son avis pour CVE-2026-123039 (sk1000362), mis à jour le 12 novembre. Les correctifs sont livrés dans les Jumbo Hotfix Accumulators pour R82.20, R82.10, R82 et R81.20 ; R81.10 et R81, qui ne sont plus supportées, n'en ont pas. Une mesure d'attente consiste à arrêter le processus DynamicCLI. [2]
- Check Point Research publie son analyse de la campagne, avec l'effaceur (destroy_v6, qui laisse une note politique refusant toute négociation de rançon) et des indicateurs de compromission. [1][3]