Check Point gateways bị tấn công thông qua PHP2Shell để xóa dữ liệu VMware ESXi

Vulnerable Check Point Security Gateway instances bị tấn công thông qua PHP2Shell để xóa dữ liệu trên VMware ESXi hosts. Kẻ tấn công sử dụng PHP2Shell để tiếp cận qua Mobile Access portal, sau đó khai thác lỗ hổng zero-day để lấy quyền root và cài đặt PHP webshells. Tấn công bắt đầu từ ngày 30/10, ban đầu nhắm vào tổ chức Israel và sau đó lan ra nhiều quốc gia.

Nội dung chính

• Tấn công bắt đầu từ ngày 30/10, nhắm vào tổ chức Israel và sau đó lan ra nhiều quốc gia.
• Kẻ tấn công sử dụng PHP2Shell để tiếp cận qua Mobile Access portal của Check Point Security Gateway.
• Sau đó khai thác lỗ hổng zero-day CVE-2026-123039 để lấy quyền root.
• Tấn công viên cài đặt PHP webshells và TSGA backdoor để nghe lệnh từ attacker.
• Tấn công viên sử dụng gogo scanner để tìm VMware ESXi hosts và triển khai wiper destroy_v6.

Khuyến nghị

• Cài đặt November Jumbo Hotfix trên tất cả Management Servers và Security Gateways, đặc biệt là những gateway có Mobile Access portal internet-facing.
• Kiểm tra dấu hiệu bị xâm phạm trên các gateway trước đây đã bị phơi bày, bao gồm các tệp session chứa upload_progress_pwn, quá trình CPconfigdaemon bất ngờ hoặc binary, và khoảng trống bất thường trong log firewall.

Lưu ý: Bài viết được biên dịch và tóm tắt tự động bằng AI từ nguồn BleepingComputer. Vui lòng đối chiếu bài gốc trước khi sử dụng.