Check Point: PHP2Shell a CVE-2026-123039 se zneužívají proti branám s Mobile Access

Co se stalo

Check Point 12. listopadu 2026 zveřejnil bezpečnostní upozornění: jeho výzkumný tým zachytil aktivní zneužívání chyb PHP2Shell proti branám Quantum Security Gateway s portálem Mobile Access. Útoky probíhaly od 30. října do 4. listopadu 2026, tedy zhruba týden poté, co Check Point 23. října vydal opravu PHP2Shell. Zasažené byly jen brány, které ji nenasadily.

Útočník se přes PHP2Shell dostal do webového portálu, přes novou chybu CVE-2026-123039 v systému Gaia získal root a nainstaloval zadní vrátka. Podle Check Point bylo napadeno „pár desítek“ nezáplatovaných systémů v jednom regionu. V omezeném počtu případů byl útok ničivý a ideologicky motivovaný: útočník přešel na servery VMware ESXi a spustil wiper.

Check Point Research popisuje dvě vlny:

• Vlna 1 (od 30. 10.) – cílené útoky na izraelské organizace, u části z nich ničení dat.
• Vlna 2 (od 2. 11.) – širší skenování a zneužívání ve více zemích a odvětvích, včetně některých obětí z první vlny. Ničení dat při ní Check Point nepozoroval.

Technické podrobnosti

Útok spojil dvě chyby. Postup popisujeme jen obranně, bez návodu ke zneužití.

• PHP2Shell (CVE-2026-109618, CVE-2026-109619) – chyby práce s pamětí v samotném PHP, které mohou vést ke spuštění kódu na dálku bez přihlášení. Na branách Check Point je PHP součástí webových rozhraní, mimo jiné portálu Mobile Access. Check Point je hodnotí CVSS 9,2. Princip obou chyb jsme popsali ve zprávě o útocích na NAS Synology.
• CVE-2026-123039 – podle záznamu Check Point v NVD běží služba DynamicCLI v Gaia OS jako root a poslouchá na lokálním socketu /tmp/dynamic_socket, do kterého smí zapisovat kdokoli, a připojené procesy neověřuje. Místní uživatel tak přes socket spustí příkaz jako root. CVSS 3.1 7,8 (AV:L/AC:L/PR:L), CWE-732 a CWE-862. Útočník jí povýšil servisní účet portálu na root.

Co Check Point Research na napadených branách našel:

• Webshelly v adresáři šablon přihlašovací stránky portálu se jmény zz*.tpl a soubor challenge_render.tpl; plná verze webshellu vyžaduje klíč zz2026.
• TSGA (/tmp/CPconfigdaemon, po restartu slot_CPconfigdaemon) – zadní vrátka pro Linux s šifrovaným vzdáleným přístupem, krádeží konfigurace, perzistencí přes zálohy a snapshoty a mazáním záznamů v logu firewallu. Poslouchá na TCP portu 11072 a socketu /tmp/.p_sock.
• TSProxy (/lib/libcpfwcommon.so) – knihovna pro šifrovanou proxy, která se zavěšuje do síťových funkcí vybraných procesů brány.
• gogo – skener vnitřní sítě; pak přesun přes SSH na hostitele VMware ESXi pod servisním účtem vpxuser.
• Wiper (v indikátorech destory_v6) – soubory přepíše nulami, smaže a do každé složky zapíše vzkaz DREAM_ANNEXATION.txt v hebrejštině. Výkupné nepožaduje.

Kdo za tím stojí: TSGA a TSProxy se podle Check Point Research podobají sadě PhiliKit, kterou ESET spojuje s čínskou skupinou UNC5221 (útoky na Ivanti VPN). Infrastruktura běžela u VPS poskytovatele LightNode a skenování bylo soustředěné mezi 00:00 a 09:00 UTC. Ničení dat, zaměření na Izrael a hebrejský vzkaz se značkou firmy Dream Security ale k známým motivům UNC5221 nesedí. Check Point připouští i to, že skupina jen prodala přístup, že jde o operaci pod cizí vlajkou nebo o kouřovou clonu – s vysokou jistotou to neurčil.

Koho se to týká

Podle tabulky v upozornění Check Point:

• PHP2Shell: Security Gateways s portálem Mobile Access, verze R80 až R82.20, a firewally Spark R77.20.x, R80.20.x, R81.10.x a R82.00.x (podrobnosti v sk1000302).
• CVE-2026-123039: Gaia R82.20 s Jumbo Hotfixem Take 10 a nižším, R82.10 s Take 50 a nižším, R82 s Take 130 a nižším a R81.20 s Take 173 a nižším (Security Gateway i Security Management; záznam v NVD, sk1000362).

Stejný listopadový Jumbo Hotfix opravuje ještě dvě chyby, u kterých Check Point zneužití nepozoroval: CVE-2026-107484 (zvýšení oprávnění v portálu Gaia, CVSS 7,3, R80 až R82.20, sk1000291) a CVE-2026-120490 (přístup ze serveru správy na bránu přes pravidlo NAT, CVSS 3,8, R81.20 a R82, sk1000364).

Jak poznat napadení

Indikátory zveřejnil Check Point Research (zneškodněné, ke kopírování do vyhledávání v logu a blokovacích seznamů). Vytáhnete je i naším extraktorem IOC.

# Síť (skenování a zneužití)
130.94.19[.]204
130.94.19[.]168
TCP 11072 naslouchající na bráně (TSGA)

# Stopy zneužití PHP2Shell
/opt/CPcvpn-R81.20/tmp/   # soubory PHP session s řetězcem upload_progress_pwn
stovky pádů (segmentation fault) pracovních procesů Apache/PHP

# Soubory a procesy
<šablony portálu>/zz*.tpl
challenge_render.tpl
/tmp/.up.tpl
/tmp/CPconfigdaemon
slot_CPconfigdaemon
/tmp/.bd.log
/tmp/.p_sock
/lib/libcpfwcommon.so
DREAM_ANNEXATION.txt

# SHA-256
edb3e92eb7bda7413a09edcc4b1ba3cbed4bcdf42808a8abce63b6e4c3fda2b3  webshell .tpl
4171b521fa6441382aa2fa014a08e18ff9a6e0ab6096c9144072bf46b37a2ec8  slot_CPconfigdaemon
d7549671c7189979f0624ec52dad9ea6a707d23146e3585ab8f8c4720eca0c63  CPconfigdaemon
3b51080a909023f7d484e2443740b572307ce0054eb9e32d98f0a06bfcd2db90  gogo
c7d9477309fac6c638a1128442056a242de086996add8cb49cd6496c36003237  destory_v6 (wiper)
0522937c0c0337be54fe25493539e5f5f8ceb9742c980aaff1cfc9515f3a96f7  DREAM_ANNEXATION.txt
ee16e1695711b9d60c62925fcfb2fe1a29c18ae26565bc05410a14e16d2a39d7  philistine
fb1a6235eb6bce8c9ec8cd8bb85f17c9c2bde8ecb45b7a243a30ceadf26654da  libdssafe.so

Check Point dál doporučuje hledat:

• proces nebo soubor vydávající se za součást Check Point se jménem CPconfigdaemon,
• nástroje se slovy scanner nebo wiper v názvu v /tmp nebo /temp,
• nevysvětlené mezery v logu provozu firewallu, zvlášť po pádu logovacího démona.

Check Point upozorňuje, že když nic nenajdete, napadení to nevylučuje, a každá shoda vyžaduje okamžité prověření.

Co udělat

1. Nasaďte listopadový Jumbo Hotfix na všechny brány a servery správy. Přednost mají brány s Mobile Access dostupným z internetu.
2. Prohledejte brány podle indikátorů výše, i když už máte opravu nasazenou – útoky běžely od 30. 10. a zadní vrátka aktualizace neodstraní.
3. Při nálezu berte bránu jako ovládnutou: izolujte ji, kontaktujte podporu Check Point, obnovte ji z čisté instalace a změňte všechna hesla, certifikáty a klíče, které na ní byly uložené.
4. Prověřte servery VMware ESXi, na které brána dosáhne – přihlášení přes SSH, zvlášť účtem vpxuser, a nečekané mazání souborů.
5. Zkontrolujte souvislost logů firewallu za období od 30. října; TSGA umí záznamy mazat.
6. Omezte portál Mobile Access jen na nezbytné uživatele a sítě, pokud ho nepotřebujete z celého internetu, a sledujte aktualizace sk1000302 a sk1000362.

Časová osa