Des passerelles Check Point compromises via PHP2Shell pour déployer un effaceur visant VMware ESXi

Les attaques ont débuté le 30 octobre, d’abord contre des organisations israéliennes, selon BleepingComputer. Check Point indique que la première vague d’exploitation visait des organisations israéliennes, tandis qu’une deuxième vague, le 2 novembre, a touché des entreprises de plusieurs pays et secteurs. L’attaquant a utilisé PHP2Shell, deux failles PHP suivies sous les identifiants CVE-2026-109618 et CVE-2026-109619, pour accéder aux passerelles via le portail Mobile Access, puis a exploité le zero-day CVE-2026-123039 pour obtenir les privilèges root.

L’attaquant a installé des webshells PHP et la porte dérobée TSGA, a gagné les hôtes VMware ESXi repérés à l’aide du scanner gogo, et a déployé un effaceur nommé destroy_v6, qui supprime récursivement les données du répertoire ciblé. Check Point a également relevé une note nommée DREAM_ANNEXATION.txt, qui mentionne Dream Security Ltd., contient des messages politiques et rejette toute négociation de rançon. Check Point rapproche de manière provisoire TSGA et TSProxy de PhiliKit, mais indique que les attaques n’ont pas pu être attribuées avec certitude.

Pourquoi c’est important Les administrateurs de passerelles Check Point dont les portails Mobile Access sont exposés sur internet devraient traiter ce sujet en priorité. Check Point recommande d’installer le November Jumbo Hotfix, qui corrige à la fois PHP2Shell et la faille d’élévation de privilèges DynamicCLI, et de rechercher des signes de compromission, tels que des processus CPconfigdaemon inattendus et une activité SSH non autorisée entre les passerelles et les hôtes ESXi. Le wiper s’exécutant sur des hôtes ESXi, tout parc de virtualisation accessible depuis une passerelle exposée risque une perte de données ; les enquêteurs devraient examiner les journaux des passerelles à la recherche de lacunes inexpliquées.