Passerelles Check Point piratées, des fichiers ESXi effacés
Depuis le 30 octobre, un attaquant s’en prend aux passerelles Check Point non corrigées en passant par le portail Mobile Access. Enchaînant les failles PHP2Shell et une élévation de privilèges vers root, il installe une porte dérobée, puis, dans au moins un cas documenté par Check Point Research, efface des fichiers sur un hôte VMware ESXi.
Ce qui est touché
Le point d’entrée est le portail Mobile Access des Security Gateways. Selon Check Point Research, l’activité a démarré environ une semaine après la mise à disposition d’un correctif, depuis l’adresse 130.94.19[.]204. Deux vagues ont été observées : le 30 octobre, contre des organisations israéliennes, dont certaines ont subi des destructions ; le 2 novembre, contre des organisations de plusieurs pays et secteurs, sans trace de destruction à ce stade. Aucune des deux ne montre de préférence sectorielle, ce qui évoque des tentatives d’accès opportunistes plutôt qu’un ciblage fin.
Le scénario d’intrusion enchaîne trois étapes. D’abord PHP2Shell, c’est-à-dire les failles CVE-2026-109618 et CVE-2026-109619 de PHP. Notées 9,2 (critique) dans la base NVD, elles permettent une exécution de code à distance sans authentification, et la CISA les a ajoutées à son catalogue des vulnérabilités exploitées le 26 octobre. Ensuite CVE-2026-123039, une faille de Gaia OS dans le démon DynamicCLI : il tourne en root et écoute sur un socket local accessible en écriture à tous, sans authentifier ceux qui s’y connectent. Enfin, des webshells PHP déposés dans le répertoire des modèles de pages de connexion du portail.
Ce que l’attaquant fait une fois root
Les webshells (fichiers zz*.tpl) passent de simples exécuteurs de commandes à des versions complètes protégées par une clé codée en dur : commandes système, code PHP, envoi de fichiers. Ceux-ci atterrissent dans /tmp/.up.tpl, puis sont copiés dans le répertoire du portail sous le nom challenge_render.tpl.
Vient ensuite TSGA, une porte dérobée autonome lancée depuis /tmp/CPconfigdaemon, qui se relance sous le nom slot_CPconfigdaemon. Selon Security Affairs et The Hacker News, elle sait ouvrir un accès distant chiffré, voler la configuration, survivre grâce aux sauvegardes et aux snapshots, s’injecter dans des processus et falsifier les journaux binaires du pare-feu. Elle embarque TSProxy, une bibliothèque écrite dans /lib/libcpfwcommon.so, qui intercepte les connexions marquées par l’attaquant et laisse passer le trafic normal.
Depuis la passerelle, les attaquants lancent le scanner gogo pour cartographier le réseau interne, puis rebondissent en SSH vers un hôte ESXi avec le compte vpxuser. Ils y exécutent destroy_v6, un effaceur Linux qui supprime les fichiers d’un dossier quelle que soit leur extension, en les écrasant d’abord par des zéros sauf en mode rapide. Dans chaque dossier traité, il laisse une note DREAM_ANNEXATION.txt, rédigée en hébreu, à thème politique, qui exclut toute négociation de rançon.
Une gravité à nuancer, une attribution incertaine
CVE-2026-123039 est notée 7,8 (élevée) et, précise Check Point, exige que l’attaquant dispose déjà d’une exécution de code local sur l’appliance. Seule, elle n’ouvre donc pas la porte. Mais l’éditeur dit en avoir constaté l’exploitation chez environ deux douzaines de clients, et ici PHP2Shell fournit justement ce premier pied. D’après The Hacker News, elle touche les versions R82.20, R82.10, R82, R81.20, R81.10 et R81 des Check Point Force Firewalls, des serveurs de gestion et de journaux, du Multi-Domain Security Management et du Maestro Orchestrator.
Qui est derrière ? Check Point ne tranche pas. TSGA et TSProxy sont des variantes de PhiliKit, un outillage vu dans des attaques contre des équipements Ivanti et rattaché par ESET à UNC5221, groupe lié à la Chine. L’hébergeur LightNode et des scans calés sur les heures de bureau chinoises vont dans ce sens. Mais les destructions, la cible israélienne et la note en hébreu ne collent pas au profil connu. L’éditeur n’écarte ni l’opération complète d’un seul acteur, ni un simple courtier en accès, ni une fausse piste, ni des destructions servant d’écran de fumée. La note reprend la marque Dream Security, dont une étude récente portait sur des attaques PHP2Shell menées par des acteurs liés à la Chine contre des équipements Palo Alto Networks. Check Point évoque une possible riposte, sans motif établi.
Que faire maintenant
Un correctif était disponible environ une semaine avant le début des attaques ; Check Point n’en détaille pas les versions dans son rapport, il faut donc se reporter à l’avis de sécurité de l’éditeur. Les administrateurs de passerelles exposant Mobile Access sont les premiers concernés, y compris en France, où aucune victime n’est citée.
- Appliquer les correctifs Check Point, ainsi que les mises à jour de PHP lorsque c’est possible : le projet PHP juge que la mise à jour est le seul remède complet.
- Chercher les indices : fichiers zz*.tpl et challenge_render.tpl dans le répertoire des modèles du portail, /tmp/.up.tpl, sessions PHP contenant « upload_progress_pwn » dans /opt/CPcvpn-R81.20/tmp/, /tmp/CPconfigdaemon, slot_CPconfigdaemon, /lib/libcpfwcommon.so, plantages Apache/PHP répétés, trafic issu de 130.94.19[.]204.
- Vérifier les connexions SSH vers les hôtes ESXi avec vpxuser et la présence de destroy_v6 ou de notes DREAM_ANNEXATION.txt.
- Pour les autres serveurs PHP exposés qui ne peuvent pas être mis à jour, le projet PHP recommande en palliatif de fixer memory_limit=-1, mesure qu’il juge incomplète, et de bloquer en amont les requêtes multipart inutiles.
Reste à voir si une troisième vague suivra la seconde.
Fiche technique
| CVE | Produit | Gravité | Exploitée activement | Versions corrigées |
|---|---|---|---|---|
| CVE-2026-109618 | PHP Group PHP | Critique (CVSS 9,2) | Oui (KEV, 26 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-109619 | PHP Group PHP | Critique (CVSS 9,2) | Oui (KEV, 26 octobre 2026) | Voir l’avis de l’éditeur |
| CVE-2026-123039 | — | Élevée (CVSS 7,8) | Non signalée | Voir l’avis de l’éditeur |
Données : NVD (NIST), catalogue KEV de la CISA (CC0) et GitHub Advisory Database (CC BY 4.0, données adaptées).
Sources
- PHP2Shell Exploitation on Check Point Gateway – Check Point Research, research.checkpoint.com
- Unpatched Check Point Gateways Are Being Wiped exploiting PHP2Shell, Security Affairs, 13 novembre 2026
- Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files, The Hacker News, 13 novembre 2026
- Avis de sécurité (github.com), github.com, 21 octobre 2026
- CVE-2026-109618, NVD (NIST)
- CVE-2026-109618 dans le catalogue KEV, CISA
- CVE-2026-109619, NVD (NIST)
- CVE-2026-109619 dans le catalogue KEV, CISA
- GHSA-m95q-vgfj-2v8g : The Gaia OS DynamicCLI daemon runs as root and listens on a world-writable local socket…, GitHub Advisory Database (CC BY 4.0)
- CVE-2026-123039, NVD (NIST)
