veilletech.fr
14 nov. Feed du jour
#02 SÉCURITÉ Faille

Check Point : PHP2Shell exploité, puis un wiper ESXi

Le correctif existait : l'attaque a visé les passerelles en retard.

Depuis le 30 octobre, un acteur inconnu entre dans des passerelles Check Point non corrigées par les failles PHP2Shell, passe root avec CVE-2026-123039, installe la porte dérobée TSGA, puis rebondit en SSH vers un hôte VMware ESXi où il lance un effaceur. La CISA a inscrit CVE-2026-123039 à son catalogue KEV le 13 novembre. Check Point ne se prononce pas sur l'attribution.

3 min de lectureavancévidéo 1:20
Partager
Sommaire5 sections
  1. Ce qui se passe
  2. La chaîne d'attaque
  3. Qui est derrière ?
  4. Comment s'y prendre
  5. À retenir

Ce qui se passe

Check Point détaille une campagne menée contre ses propres passerelles de sécurité. Elle commence le 30 octobre 2026, environ une semaine après la publication d'un correctif, avec des attaques parties de 130.94.19[.]204 contre des organisations israéliennes, par des portails Mobile Access vulnérables. Une seconde vague, le 2 novembre, élargit la cible à des organisations de plusieurs pays et secteurs, sans préférence apparente : un accès initial opportuniste. Certaines victimes de la première vague ont aussi subi des actions destructrices.

La chaîne d'attaque

  1. Accès initial : les failles PHP2Shell, CVE-2026-109618 et CVE-2026-109619, dans les portails Mobile Access. La source renvoie à un article précédent pour leur détail.
  2. Passage root : CVE-2026-123039 (CVSS 7,8), une autorisation manquante dans l'interface DynamicCLI de Gaia OS. Tout utilisateur local authentifié peut lancer des commandes arbitraires en écrivant une seule requête sur la socket. Check Point l'a vue exploitée contre environ deux douzaines de clients.
  3. Persistance : des web shells PHP (exécution de commandes, dépôt de fichiers), puis la porte dérobée TSGA, déployée sous le nom slot_CPconfigdaemon. Elle offre un accès distant chiffré, vole la configuration, survit grâce aux sauvegardes et aux snapshots, injecte du code dans des processus et altère les journaux binaires du pare-feu. Son composant TSProxy charge une bibliothèque dans des processus de l'appliance et intercepte leurs fonctions réseau pour traiter les connexions marquées de l'attaquant, en laissant passer le trafic ordinaire.
  4. Latéral : le scanner gogo cartographie le réseau interne, puis un SSH vers un hôte VMware ESXi, avec le compte de service vpxuser.
  5. Destruction : l'effaceur Linux destroy_v6 parcourt un dossier de façon récursive, tente d'écraser chaque fichier avec des zéros puis le supprime, quelle que soit l'extension, et dépose DREAM_ANNEXATION.txt dans chaque dossier traité.

Versions concernées par CVE-2026-123039 : R82.20, R82.10, R82, R81.20, R81.10 et R81, sur Check Point Force Firewalls, Management and Log Servers, Multi-Domain Security Management et Multi-Domain Log Server, et Maestro Orchestrator. Le 13 novembre, la CISA a ajouté cette faille à son catalogue des vulnérabilités exploitées, avec CVE-2026-114713 (UnrealIRCd).

Qui est derrière ?

TSGA et TSProxy semblent être des composants de PhiliKit, une boîte à outils documentée par ESET en juin 2026 et attribuée au groupe Armory Castle (ex-UNC5221), lié à la Chine. L'infrastructure LightNode VPS et des scans concentrés entre minuit et 9 h UTC, soit les heures de bureau chinoises, vont dans ce sens.

Check Point refuse pourtant de conclure : l'effaceur, le ciblage d'Israël et la note à thème politique ne cadrent pas avec ce profil. Il laisse ouvertes plusieurs pistes : le même acteur de bout en bout, un simple courtier d'accès, une fausse piste, ou une destruction qui sert d'écran de fumée.

Comment s'y prendre

Source : The Hacker News, en anglais, qui reprend le rapport de Check Point Research.