שערי Check Point נפרצו באמצעות PHP2Shell להפצת וייפר ב־VMware ESXi

המתקפות החלו ב־30 באוקטובר, תחילה נגד ארגונים ישראליים, לפי BleepingComputer. לדברי Check Point, גל הניצול הראשון כוון נגד ארגונים ישראליים, ואילו גל שני ב־2 בנובמבר פגע בחברות במספר מדינות ובמגזרים שונים. התוקף השתמש ב־PHP2Shell, שני פגמי PHP שמזוהים כ־CVE-2026-109618 וכ־CVE-2026-109619, כדי להגיע אל השערים דרך פורטל Mobile Access, ולאחר מכן ניצל את פגם יום האפס CVE-2026-123039 כדי להשיג הרשאות root.

התוקף התקין webshells של PHP ואת דלת אחורית TSGA, עבר אל מארחי VMware ESXi שאותרו באמצעות הסורק gogo, והפעיל וייפר בשם destroy_v6 שמוחק נתונים באופן רקורסיבי בתיקיית היעד. Check Point גילתה גם הודעה בשם DREAM_ANNEXATION.txt שמזכירה את Dream Security Ltd., כוללת מסרים פוליטיים ודוחה משא ומתן על כופר. Check Point קישרה באופן ראשוני בין TSGA ו־TSProxy לבין PhiliKit, אך מציינת שלא ניתן לייחס את המתקפות ברמת ביטחון גבוהה.

למה זה חשוב מנהלי מערכות שמפעילים שערי Check Point עם פורטלי Mobile Access החשופים לאינטרנט צריכים לתת לכך עדיפות גבוהה: Check Point ממליצה על Jumbo Hotfix של נובמבר, שמתקן הן את PHP2Shell והן את פגם הסלמת ההרשאות DynamicCLI, ועל בדיקת סימני פריצה כגון תהליכי CPconfigdaemon בלתי צפויים ופעילות SSH בלתי מורשית מהשערים אל מארחי ESXi. מכיוון שהוייפר פועל על מארחי ESXi, כל סביבת וירטואליזציה שניתן להגיע אליה משער חשוף נמצאת בסיכון לאובדן נתונים, וחוקרים צריכים לעיין ביומני השערים ולחפש פערים בלתי מוסברים.