Check Point potvrdil zneužívanie PHP2Shell; v obmedzenom počte prípadov došlo aj k mazaniu dát na ESXi
Útočníci aktívne zneužívali reťazec chýb PHP2Shell a eskaláciu práv v bránach Check Point Security Gateway. V obmedzenom počte vyšetrovaných prípadov nasadili implantáty a mazací malvér proti VMware ESXi.
Check Point PHP2Shell bol podľa výrobcu aktívne zneužívaný proti internetovo dostupným portálom Mobile Access. V obmedzenom počte vyšetrovaných prípadov útočníci po získaní root práv nasadili implantáty a cez SSH sa presunuli na VMware ESXi hostiteľa, kde spustili mazací malvér.
Check Point zverejnil upozornenie 12. novembra. Uviedol, že pozorovaná exploitačná aktivita sa začala 30. októbra 2026 a trvala do 4. novembra. Prvá vlna zasiahla izraelské organizácie, druhá vlna z 2. novembra smerovala proti organizáciám vo viacerých krajinách a odvetviach.
Check Point PHP2Shell a eskalácia na root
Reťazec PHP2Shell tvorili zraniteľnosti CVE-2026-109618 a CVE-2026-109619, ktoré útočníci kombinovali s lokálnou eskaláciou práv CVE-2026-123039. Podľa Check Pointu im tento postup poskytol root prístup k zasiahnutej bráne.
Vo vyšetrovanom prieniku potom nasadili PHP webshell, perzistentný implantát TSGA a komponent TSProxy. Tieto nástroje mohli umožniť pretrvávajúci prístup, získanie konfigurácie a laterálny pohyb v sieti; faktový list ich nepotvrdzuje ako výsledok všetkých útokov.
Bezpečnostné brány patria medzi kritické hraničné systémy, pretože sprostredkúvajú vzdialený prístup a komunikáciu s internou infraštruktúrou. Riziko je zvlášť relevantné pri portáloch Mobile Access vystavených priamo internetu.
V obmedzenom počte prípadov nasledoval útok na VMware ESXi
Check Point v obmedzenom počte vyšetrovaných prípadov zaznamenal, že sa útočníci cez SSH presunuli z kompromitovanej brány na hostiteľa VMware ESXi. Na ňom spustili mazací malvér označený ako destroy_v6 a zanechali súbor DREAM_ANNEXATION.txt.
Nie je potvrdené, koľko organizácií utrpelo deštruktívny útok ani aký bol rozsah škôd na systémoch ESXi. Rovnako nie sú dôkazy, že by ničenie dát bolo súčasťou druhej, širšej vlny z 2. novembra.
Identita ani motivácia útočníkov zatiaľ nie sú potvrdené. Súvislosti TSGA a TSProxy s nástrojmi PhiliKit ani indície spájané s aktérmi napojenými na Čínu nepovažuje Check Point za dostatočné na spoľahlivú atribúciu. Pripúšťa aj možnosť false-flag operácie.
Opravy boli dostupné, Check Point odporúča novembrový balík
Hotfix pre PHP2Shell bol podľa Check Pointu k dispozícii od 23. októbra. Organizácie majú nainštalovať novembrový Jumbo Hotfix na Management Servery aj Security Gateway. Pri CVE-2026-123039 výrobca uvádza aj dočasné zmiernenie: vypnutie služby Dynamic CLI, ak je takýto krok prevádzkovo prijateľný.
Správcovia by mali zároveň preveriť možné známky kompromitácie podľa indikátorov, ktoré Check Point zverejnil. Medzi sledované artefakty patrí reťazec upload_progress_pwn, procesy maskované ako CPconfigdaemon, podozrivé súbory v adresári /tmp a výpadky firewallových logov.
Kanadské centrum pre kybernetickú bezpečnosť vo vlastnom upozornení potvrdilo, že Check Point označil CVE-2026-123039 za zraniteľnosť zneužívanú vo voľnej prírode. Ďalší vývoj ukáže, či bezpečnostní dodávatelia alebo vládne agentúry prinesú nezávislé údaje o rozsahu kampane a jej pôvode.
Zdroje
- Check Point Research – Technický priebeh útoku, nasadenie TSGA/TSProxy, laterálny pohyb na ESXi, destroy_v6, časová os a nejednoznačnosť atribúcie.
- Check Point Blog – Potvrdenie aktívneho zneužívania, dostupnosť opravy, rozsah pozorovaných kompromitácií, odporúčané aktualizácie a indikátory kompromitácie.
- Canadian Centre for Cyber Security – Nezávislé vládne potvrdenie, že Check Point označil CVE-2026-123039 za zneužívanú vo voľnej prírode.
Overené a aktualizované: 13. 11. 2026 15:24
