שערי Check Point נפרצו דרך PHP2Shell: היצרנית מאשרת תקיפות, דלת אחורית ומוחק נתונים

מעקב הסייבר של Top-Secured: ניתוח עצמאי המבוסס על המקורות המפורטים בהמשך. Top-Secured אינה קשורה לחברות המוזכרות ולעולם לא תבקש מכם פרטי בנק או סיסמאות.

לדברי Check Point, תוקפים ניצלו את חולשות PHP2Shell בפורטל Mobile Access של שערים שלא עודכנו, ולאחר מכן חולשה נוספת כדי לקבל הרשאות root. אצל חלק מהיעדים הם התקינו דלת אחורית ועברו לשרתי VMware ESXi כדי להשמיד קבצים.

מה קרה

ב-12 בנובמבר 2026 פרסמה Check Point Research ניתוח של תקיפות נגד חומות האש של היצרנית עצמה. התוקפים השתמשו ב-PHP2Shell (CVE-2026-109618 ו-CVE-2026-109619), שתי חולשות ב-PHP ש-Check Point מדרגת 9.2 מתוך 10 וטיפלה בהן עבור השערים שלה בהודעה שפורסמה לראשונה ב-21 באוקטובר. הפעילות החלה כשבוע לאחר שהתיקון הפך לזמין, כך שנפגעו רק שערים שלא עודכנו. גל ראשון, ב-30 באוקטובר, כוון נגד ארגונים ישראליים, ובחלקם בוצע הרס; גל שני, ב-2 בנובמבר, פגע בארגונים במדינות ובמגזרים שונים, ללא הרס שנצפה. Check Point אינה מוסרת את מספר הקורבנות; ההודעה שלה על החולשה השנייה מזכירה ניצול פעיל אצל כעשרים לקוחות.

איך התוקפים נכנסו

נקודת הכניסה הייתה פורטל Mobile Access החשוף לאינטרנט. לאחר מכן ניצלו התוקפים את CVE-2026-123039, חולשה מקומית בשירות DynamicCLI, כדי לקבל הרשאות root. הם הציבו webshells בתבניות הפורטל, דלת אחורית ששורדת אתחול, ספרייה שמשמשת כ-proxy רשת וסורק. מחלק מהשערים הם התחברו ב-SSH לשרתי VMware ESXi והריצו עליהם מוחק נתונים ל-Linux. Check Point מזהה קווי דמיון לכלים המיוחסים לקבוצה הקשורה לסין, אך מציינת שאינה יכולה לקבוע בוודאות את טיבה האמיתי של המבצע.

מה לעשות עכשיו

1. עדכנו: Jumbo Hotfix Accumulator Take 14 ומעלה ב-R82.20, Take 52 ב-R82.10, Take 132 ב-R82, Take 174 ב-R81.20, או את התיקון העצמאי מ-sk1000302 (נדרש אתחול). Spark: R82.00.11 build 998002843 או R81.10.17 build 996005005 ומעלה. בדקו את ה-Take המותקן עם cpinfo -y all.
2. ב-R81.10 ומטה (ללא תמיכה) תכננו שדרוג: אין תיקון מתוכנן ל-CVE-2026-123039.
3. אם אי אפשר לעדכן מיד, החילו את העקיפה הידנית מ-sk1000302 ועצרו את dynamic_server כמתואר ב-sk1000362.
4. חפשו סימני חדירה, גם אחרי העדכון: /tmp/CPconfigdaemon, /lib/libcpfwcommon.so, קובצי zz*.tpl בתבניות הפורטל, שירות המאזין ב-TCP 11072 (netstat -tlnp) וכתובות ה-IP ש-Check Point פרסמה.
5. אם נמצא משהו, התקינו את השער מחדש, החליפו את הסודות ואת תעודות ה-VPN שלו, ובדקו את שרתי ה-ESXi שהוא יכול להגיע אליהם.

הדעה שלנו

גם חומת אש היא שרת, ופורטלי הרשת שלה משתמשים באותן ספריות כמו כל אתר. שבוע בין תיקון לתקיפה הוא כבר הנורמה: ציוד הקצה צריך את אותו לוח זמנים לעדכונים כמו שרת הרשת החשוף ביותר, ויש לנתק את גישת הניהול שלו להיפרוויזורים.

מקורות

• Check Point Research — PHP2Shell Exploitation on Check Point Gateway
• Check Point — sk1000302: Check Point Response to CVE-2026-109618, CVE-2026-109619, CVE-2026-115560
• Check Point — sk1000362: CVE-2026-123039, local privilege escalation in DynamicCLI
• CERT-FR — CERTFR-2026-AVI-1501 : Multiples vulnérabilités dans les produits Check Point

איך אנחנו בוחרים, מאמתים וכותבים את הניתוחים שלנו ←