Kwetsbare Check Point Security Gateways werden aangevallen via PHP2Shell, waarbij data-wiper malware op VMware ESXi hosts werd ingezet.
Kwetsbare Check Point Security Gateway-instanties zijn doelwit geworden van aanvallen via PHP2Shell, waarbij data-wiper malware werd ingezet op VMware ESXi hosts. De aanvallen begonnen op 30 oktober en richtten zich aanvankelijk op Israëlische organisaties. De aanvaller voerde de gehele campagne uit, van initiële toegang tot laterale beweging en het lanceren van PHP webshells.
PHP2Shell verwijst naar twee kritieke PHP-kwetsbaarheden, geregistreerd als CVE-2026-109618 en CVE-2026-109619, die ongeauthentiseerde remote code execution op kwetsbare systemen mogelijk maken. Hoewel PHP op 21 oktober spoedpatches uitbracht, waren er volgens Amazon Threat Intelligence al vanaf 17 oktober exploitatiepogingen. CISA voegde deze kwetsbaarheden op 26 oktober toe aan haar Known Exploited Vulnerabilities-catalogus en waarschuwde later dat aanvallers PHP2Shell combineerden met de Fragnesia Linux kernel-kwetsbaarheid om rootrechten te verkrijgen.
Volgens Check Point richtte de eerste golf zich op Israëlische organisaties, terwijl een tweede golf op 2 november bedrijven in meerdere landen en sectoren trof. De aanvaller gebruikte PHP2Shell om via de Mobile Access-portal toegang te krijgen, waarna een zero-day kwetsbaarheid (CVE-2026-123039) werd misbruikt om rootrechten te verkrijgen. Met deze rechten werden PHP webshells en de TSGA backdoor geïnstalleerd, die een netwerkcomponent TSProxy bevat om commando’s te ontvangen die verborgen zijn in reguliere netwerkverkeer.
In de aanvallen op Israëlische organisaties verplaatste de dreigingsactor zich van de gateway naar VMware ESXi hosts, die werden geïdentificeerd met de open-source netwerk scanner gogo. In de laatste fase werd een data wiper met de naam destroy_v6 ingezet, die data in de doelmap recursief verwijdert en eerst probeert te overschrijven met nullen om herstel te bemoeilijken. Er is ook een snelle modus die het overschrijven overslaat.
Op de getroffen ESXi hosts werd een bestand DREAM_ANNEXATION.txt achtergelaten met politieke boodschappen en een expliciete afwijzing van onderhandelingen over losgeld, wat erop wijst dat het doel van de aanvallers puur destructief was. Check Point koppelt TSGA en TSProxy voorlopig aan PhiliKit, een malwareframework dat eerder werd gezien bij aanvallen op Ivanti-apparaten en dat volgens ESET gelinkt is aan de Chinese dreigingsgroep UNC5221. Definitieve attributie is echter niet mogelijk op basis van de beschikbare gegevens.
De tweede golf van aanvallen bevatte geen destructieve acties, maar de vervolgstappen van de aanvallers zijn onduidelijk. Check Point adviseert klanten dringend om de november Jumbo Hotfix te installeren op alle Management Servers en Security Gateways, met prioriteit voor systemen met internetgerichte Mobile Access-portals. Deze update verhelpt zowel PHP2Shell als de DynamicCLI privilege escalation kwetsbaarheid die in de aanvallen werden gebruikt. Beheerders wordt aangeraden te controleren op tekenen van compromittering, zoals verdachte sessiebestanden, onverwachte processen of binaire bestanden, gaten in firewall-logs en ongeautoriseerde SSH-activiteit van de gateway naar interne VMware ESXi hosts.
