PHP2Shell açıkları Check Point geçitlerinde yıkıcı saldırılarda kullanıldı

Saldırganlar PHP2Shell açıklarını Check Point Gateway cihazlarına sızmak ve bir silici zararlı yerleştirmek için kullanıyor; ilk yıkıcı dalga İsrail'deki kuruluşları hedef aldı.

Saldırganlar, PHP 5 ve sonrasını etkileyen ve CVE-2026-109618 ile CVE-2026-109619 olarak izlenen PHP2Shell açıklarını, Check Point Gateway cihazlarına sızmak ve yıkıcı bir silici yerleştirmek için kullanıyor. Yamalar 21 Ekim'de yayımlandı, ancak sömürü birkaç gün önce başlamıştı ve kısa süre sonra kitlesel hale geldi.

Check Point saldırıyı iki dalga halinde tanımlıyor. 30 Ekim'de başlayan ilk yıkıcı dalga İsrailli kuruluşları hedef aldı. 2 Kasım'da başlayan ikinci dalga ise birkaç ülkedeki kuruluşlara yöneldi ve bu dalgada yıkıcı bir etkinlik gözlenmedi.

Saldırganlar ilk erişimi sağladıktan sonra yerel yetki yükseltme açığı CVE-2026-123039'u kullanarak root yetkisine ulaştı. Ardından PHP web kabuklarını ve TSGA ile TSProxy arka kapılarını yerleştirdi. Sonunda bir VMware ESXi sunucusunu sildi ve Dream Security'den söz eden bir not bıraktı. Check Point, olayın Çin bağlantılı olduğuna dair atfın belirsiz olduğunu söylüyor; çünkü kullanılan silici ve yıkıcı amaçlar bilinen Çin operasyonlarıyla örtüşmüyor.