Check Point tűzfalakat törtek fel
Aktívan kihasznált sérülékenységekkel támadtak Check Point Security Gateways eszközöket 2026. október 30. és november 4. között. A Check Point Research vizsgálata szerint a támadók először izraeli szervezeteket céloztak, majd november 2-án több országra is kiterjesztették a műveletet. Egyes esetekben a behatolás adatmegsemmisítéssel végződött.
A támadók a PHP2Shell néven ismert, CVE-2026-109618 és CVE-2026-109619 azonosítójú sérülékenységeken keresztül jutottak be a frissítetlen eszközök Mobile Access portálján. Ezután a Gaia operációs rendszer CVE-2026-123039 jelű jogosultságkiterjesztési hibáját kihasználva rendszergazdai, úgynevezett root hozzáférést szereztek.
A kompromittált tűzfalakra PHP-alapú webshellt és TSGA bank door-t telepítettek. Utóbbi titkosított távoli hozzáférést, konfigurációs adatok megszerzését és a naplózás manipulálását is lehetővé teszi. A kártevő TSProxy összetevője a legitim hálózati szolgáltatásokon keresztül rejtheti el a támadói kommunikációt.
Az egyik feltárt incidensben a támadók a tűzfalról továbbjutottak egy VMware ESXi-kiszolgálóra, ahol a destroy_v6 nevű adattörlő programot futtatták. A rendszerben politikai üzenetet is hagytak, de a Check Point szerint a támadók kiléte és pontos motivációja nem állapítható meg egyértelműen.
A gyártó közlése alapján a megfigyelt támadásokban néhány tucat, frissítetlen rendszer kompromittálódott. A PHP2Shell javítása már október 23-án elérhető volt, a jogosultságkiterjesztési hiba javítását pedig a novemberi Jumbo Hotfix tartalmazza.
A Check Point az összes érintett Security Gateways és menedzsmentszerver mielőbbi frissítését javasolja, különös tekintettel az internet felől elérhető Mobile Access portálokra. Az üzemeltetőknek a korábbi kompromittálódás jeleit is ellenőrizniük kell, mivel a frissítés önmagában nem távolítja el a már telepített back door-okat.
