بوابة Check Point: من استغلال PHP2Shell إلى اختراق عارض نظام التشغيل الوهمي VMware ESXi
أساليب الهجوم وتقنياتهأمس, 09:07
وصف باحثو Check Point Research هجمات حقيقية حدثت ضد جدران حماية Check Point Security Gateway بدأت في 30 أكتوبر 2026. استغل المهاجمون ثغرة PHP2Shell (CVE-2026-109618 و CVE-2026-109619) للحصول على الوصول الأولي عبر بوابة Mobile Access، ثم استغلوا الثغرة CVE-2026-123039 لتصعيد الامتيازات. في أحد الهجمات التي تم التحقيق فيها، أدى اختراق جهاز الشبكة إلى التسلل إلى البنية التحتية الداخلية وتدمير البيانات.
تم الحصول على الوصول الأولي من خلال معالجة طلبات HTTP مصممة خصيصًا عبر آلية
session.upload_progress في PHP. بعد تنفيذ الشفرة في سياق خدمة البوابة، استغل المهاجمون ثغرة في واجهة DynamicCLI لتصعيد الامتيازات إلى root. ثم وضعوا أصداف ويب PHP في دليل قالب Mobile Access وقاموا بتثبيت الباب الخلفي TSGA مع مكون TSProxy مدمج يوفر وصولاً بعيدًا سريًا ووكيل حركة مرور.نتيجة لذلك، تمكن المهاجمون من تنفيذ الأوامر بامتيازات root، والحفاظ على وصول دائم لجهاز الشبكة، وجمع بيانات التكوين، والتحركات الجانبية داخل الشبكة الداخلية. في الحادث الذي تم التحقيق فيه، وصل المهاجمون إلى عارض نظام التشغيل الوهمي VMware ESXI وأطلقوا البرنامج الضار
destroy_v6 المصمم لتدمير الملفات.