Cybercriminelen exploiteren PHP2Shell-kwetsbaarheden om Check Point Gateway-apparaten te compromitteren en wiper-malware te verspreiden.
Cybercriminelen maken gebruik van kwetsbaarheden in PHP2Shell om Check Point Gateway-apparaten te hacken en een wiper-malware te installeren bij getroffen organisaties, meldt Check Point. De aanvallen vonden plaats in twee golven. De eerste, destructieve golf begon op 30 oktober en richtte zich op Israëlische organisaties, terwijl de tweede golf vanaf 2 november organisaties in meerdere landen aanviel.
PHP2Shell, geregistreerd als CVE-2026-109618 en CVE-2026-109619, betreft twee kritieke kwetsbaarheden die leiden tot remote code execution (RCE) en alle PHP-versies vanaf PHP 5 beïnvloeden. Hoewel patches op 21 oktober werden uitgebracht, begon de exploitatie enkele dagen daarvoor en nam kort daarna in omvang toe. Onderzoek koppelt aanvallen op Palo Alto Networks firewalls aan Chinese hackers, terwijl de aanvallers van Check Point gateways een bericht achterlieten met verwijzing naar het cybersecuritybedrijf.
In de campagne van Check Point gebruikten de aanvallers PHP2Shell voor initiële toegang en maakten vervolgens misbruik van CVE-2026-123039, een lokale privilege-escalatie in het DynamicCLI-proces, om roottoegang te verkrijgen. Hiermee plaatsten zij PHP-webshells en vestigden ze persistente toegang. Eind oktober richtten de aanvallers zich op Check Point Mobile Access gateways bij meerdere Israëlische organisaties. Ze plaatsten PHP-webshells in een directory die door het Mobile Access-portaal wordt gebruikt voor het bouwen van inlogpagina’s, waardoor zij commando’s konden uitvoeren en hun aanwezigheid konden verstevigen.
Vervolgens implementeerden zij TSGA en TSProxy, varianten van het malwareframework PhiliKit dat eerder is gezien bij China-gerelateerde UNC5221-aanvallen op Ivanti-producten, voor achterdeur-toegang en netwerkfunctie-interceptie. Na interne assetdetectie verspreidden de aanvallers zich lateraal naar een VMware ESXi-host, waar zij een wiper installeerden en uitvoerden. Daarbij lieten zij een bericht achter met verwijzing naar Dream Security.
Volgens Check Point vonden de aanvallen plaats tijdens normale Chinese werktijden. Ondanks het gebruik van China-gerelateerde malware en infrastructuur, sluiten de destructieve aard en het gebruik van een wiper niet aan bij bekende Chinese cyberoperaties. Check Point stelt dat verschillende scenario’s mogelijk zijn, waaronder dat de geconstateerde actor de volledige campagne uitvoerde, alleen als initiële toegangsmakelaar fungeerde, of betrokken was bij een false-flag operatie. Ook kan de destructieve activiteit een rookgordijn zijn geweest.
De tweede golf richtte zich op Check Point Security Gateways bij organisaties wereldwijd, waaronder enkele Israëlische entiteiten die ook in de eerste golf werden aangevallen. Tijdens deze tweede golf werd geen destructieve activiteit waargenomen. Check Point merkt op dat geen van beide golven een duidelijke voorkeur voor een sector toonde, wat wijst op opportunistische pogingen tot initiële toegang in plaats van sectorgerichte aanvallen.
