Check Point פרסמה מחקר על קמפיין נגד שערי אבטחה שלה שלא עודכנו. התוקפים נכנסו דרך פגיעויות PHP2Shell, העלו הרשאות ל-root, הציבו דלת אחורית ועברו ל-ESXi, שם הריצו כלי שמוחק קבצים. הגל הראשון כוון לארגונים בישראל.
| מזהים | CVE-2026-109618, CVE-2026-109619 (כניסה); CVE-2026-123039 (העלאת הרשאות) |
| מוצרים מושפעים (CVE-2026-123039) | R81 עד R82.20: שערים, שרתי ניהול ולוגים, Multi-Domain, Maestro Orchestrator |
| חומרה | 7.8 ל-CVE-2026-123039; לשאר לא פורסם בדוח |
| מנוצל בפועל | כן, לפי Check Point (כמה עשרות לקוחות) |
| תיקון | קיים לפגיעויות PHP2Shell; ל-CVE-2026-123039 ראה ייעוץ SK1000362 |
הפרטים
לפי Check Point, ב-30 באוקטובר 2026 נרשם גל ראשון נגד ארגונים בישראל, וב-2 בנובמבר הגיע גל רחב ואופורטוניסטי בכמה מדינות וענפים. נקודת הכניסה היא CVE-2026-109618 ו-CVE-2026-109619 (פגיעויות PHP2Shell) בפורטל של השער. תיקון לפגיעויות האלה פורסם כשבוע לפני הפעילות.
אחרי הכניסה הוצבו webshells ודלת אחורית בשם TSGA, והועלתה הרשאה ל-root דרך CVE-2026-123039 (ציון 7.8, חסר הרשאה ברכיב DynamicCLI, דורש הרצת קוד מקומית קודמת). משם התוקפים סרקו את הרשת, התחברו ב-SSH ל-ESXi עם החשבון vpxuser והפעילו את destroy_v6, כלי שמוחק קבצים ומשאיר הודעה בעלת תוכן פוליטי. Check Point אינה מייחסת את הקמפיין לשחקן מסוים ואומרת שאין לה די ראיות לקשר אותו לקבוצה סינית, אף שרכיבי TSGA דומים לערכת כלים שתועדה בעבר.
נקודות לשים לב
- ודא שהשערים עודכנו לתיקון של PHP2Shell, ובדוק בייעוץ SK1000362 את רמת התיקון המחייבת. אם הפורטל חשוף לאינטרנט, שקול לצמצם גישה אליו.
- חפש בשער קובצי zz*.tpl בתיקיית התבניות של הפורטל, את
/tmp/CPconfigdaemon, את/lib/libcpfwcommon.so, ואת slot_CPconfigdaemon בתיקיית ההתמדה. - בדוק בלוגים חיבורי SSH מהשער אל מארחי ESXi, ובפרט עם החשבון
vpxuser. חפש גם קובציDREAM_ANNEXATION.txt. - כתובות IP שדווחו:
130.94.19.204ו-130.94.19.168. הרשימה המלאה, כולל hashes, בדוח של Check Point. - אם נמצאו סימנים, הנח שגם אישורי ESXi ו-vCenter חשופים: החלף אותם, ושמור גיבויים מנותקים מהרשת.
מקורות: Check Point Research · The Hacker News
₿ אהבת את הפוסט?
אפשר לשלוח לי ביטקוין ישירות לכתובת שלי. סרקו את הקוד, או העתיקו את הכתובת:
bc1qsn043qmlv4ejxydeknkfm9u6e93e6tegmq9x85
שימו לב: העברה on-chain כרוכה בעמלת רשת שאינה תלויה בסכום, ולכן סכומים קטנים מאוד אינם כדאיים.
