Passerelles Check Point piratées via PHP2Shell : l’éditeur confirme des attaques, une porte dérobée et un effaceur

Veille cyber Top-Secured : analyse indépendante fondée sur les sources citées plus bas. Top-Secured n'est pas affilié aux entreprises mentionnées et ne vous demandera jamais vos identifiants bancaires ni vos mots de passe.

Check Point indique que des attaquants ont exploité les failles PHP2Shell du portail Mobile Access de passerelles non corrigées, puis une seconde faille pour devenir root. Sur certaines cibles, ils ont installé une porte dérobée et rebondi vers des hôtes VMware ESXi pour y détruire des fichiers.

Ce qui s’est passé

Le 12 novembre 2026, Check Point Research a publié l’analyse d’attaques visant les pare-feu de l’éditeur lui-même. Les attaquants se sont servis de PHP2Shell (CVE-2026-109618 et CVE-2026-109619), deux failles de PHP notées 9,2 sur 10 par Check Point et traitées pour ses passerelles dans un bulletin publié à partir du 21 octobre. L’activité a démarré environ une semaine après la mise à disposition du correctif : seules les passerelles non mises à jour ont été touchées. Une première vague, le 30 octobre, a visé des organisations israéliennes, avec des destructions chez certaines ; une seconde, le 2 novembre, a touché des organisations de plusieurs pays et secteurs, sans destruction constatée. Check Point ne donne pas de nombre de victimes ; son bulletin sur la seconde faille évoque une exploitation active chez une vingtaine de clients.

Comment les attaquants sont entrés

La porte d’entrée était le portail Mobile Access exposé sur Internet. Une fois dedans, les attaquants ont utilisé la CVE-2026-123039, une faille locale du service DynamicCLI, pour obtenir les droits root. Ils ont déposé des webshells dans les modèles du portail, une porte dérobée qui résiste aux redémarrages, une bibliothèque servant de relais réseau et un scanner. Depuis certaines passerelles, ils se sont connectés en SSH à des hôtes VMware ESXi pour y lancer un effaceur Linux. Check Point relève des points communs avec des outils associés à un groupe lié à la Chine, mais dit ne pas pouvoir trancher sur la nature réelle de l’opération.

Que faire maintenant

1. Corrigez : Jumbo Hotfix Accumulator Take 14 ou ultérieur en R82.20, Take 52 en R82.10, Take 132 en R82, Take 174 en R81.20, ou le correctif autonome de la sk1000302 (redémarrage requis). Spark : R82.00.11 build 998002843 ou R81.10.17 build 996005005 et suivants. Vérifiez le Take installé avec cpinfo -y all.
2. En R81.10 et antérieures (hors support), planifiez une montée de version : aucun correctif n’est prévu pour la CVE-2026-123039.
3. Si vous ne pouvez pas corriger tout de suite, appliquez le contournement manuel de la sk1000302 et arrêtez dynamic_server comme l’indique la sk1000362.
4. Cherchez des traces de compromission, même après correction : /tmp/CPconfigdaemon, /lib/libcpfwcommon.so, fichiers zz*.tpl dans les modèles du portail, écoute sur le port TCP 11072 (netstat -tlnp), adresses IP publiées par Check Point.
5. En cas de doute, réinstallez la passerelle, renouvelez ses secrets et certificats VPN, et contrôlez les hôtes ESXi qu’elle peut joindre.

Notre avis

Un pare-feu est aussi un serveur, et ses portails web embarquent les mêmes bibliothèques qu’un site ordinaire. Une semaine entre correctif et attaque, c’est désormais la norme : les équipements de bordure méritent le même délai de mise à jour que le serveur web le plus exposé, et leur accès d’administration aux hyperviseurs doit être coupé.

Sources

• Check Point Research — PHP2Shell Exploitation on Check Point Gateway
• Check Point — sk1000302: Check Point Response to CVE-2026-109618, CVE-2026-109619, CVE-2026-115560
• Check Point — sk1000362: CVE-2026-123039, local privilege escalation in DynamicCLI
• CERT-FR — CERTFR-2026-AVI-1501 : Multiples vulnérabilités dans les produits Check Point

Comment nous choisissons, vérifions et rédigeons nos analyses →