Gateway da Check Point: Da Exploração do PHP2Shell à Comprometimento de um Hipervisor VMware ESXi

Pesquisadores da Check Point Research descreveram ataques reais contra firewalls Check Point Security Gateway iniciados em 30 de outubro de 2026. Os atacantes exploraram o PHP2Shell (CVE-2026-109618 e CVE-2026-109619) para obter acesso inicial através do portal Mobile Access, depois exploraram o CVE-2026-123039 para escalar privilégios. Em um dos ataques investigados, a comprometimento do dispositivo de rede levou a uma intrusão na infraestrutura interna e destruição de dados.

O acesso inicial foi obtido processando solicitações HTTP especialmente criadas através do mecanismo session.upload_progress do PHP. Após executar código no contexto do serviço do portal, os atacantes exploraram uma vulnerabilidade na interface DynamicCLI para escalar privilégios para root. Eles então colocaram web shells PHP no diretório de modelos do Mobile Access e instalaram a porta dos fundos TSGA com um componente TSProxy embutido que fornecia acesso remoto secreto e proxy de tráfego.

Como resultado, os atacantes puderam executar comandos com privilégios de root, manter acesso persistente ao dispositivo de rede, coletar dados de configuração e mover-se lateralmente dentro da rede interna. No incidente investigado, os atacantes alcançaram o hipervisor VMware ESXi e lançaram o programa malicioso destroy_v6, projetado para destruir arquivos.

Artigo: https://research.checkpoint.com/2026/php2shell-exploitation-on-check-point-gateway/