攻撃者がPHP2Shellの脆弱性を悪用してCheck Pointのゲートウェイ機器に侵入し、被害組織にワイパーを展開していたことが、Check Pointの報告で明らかになりました。
攻撃は2段階で展開されました。破壊活動を伴う第1波は10月30日に始まり、イスラエルの組織を標的にしました。第2波は11月2日に始まり、複数の国の組織が狙われました。
PHP2ShellはCVE-2026-109618とCVE-2026-109619で追跡されており、リモートコード実行（RCE）につながる2件の重大な脆弱性を指します。PHP 5以降のすべてのPHPバージョンが影響を受けます。いずれも10月21日にパッチが公開されましたが、パッチ公開の数日前に悪用が始まり、その直後には大規模な悪用に発展しました。
Dreamは、PHP2Shellを狙った攻撃のうち、Palo Alto Networksのファイアウォールでroot権限を奪取した攻撃について、中国のハッカーによるものと関連付けています。Check Pointのゲートウェイを狙った攻撃者も、このセキュリティ企業に言及するメモを残しました。
Check Pointが確認したキャンペーンでは、攻撃者はまずPHP2Shellを悪用して初期アクセスを獲得しました。続いて、DynamicCLIプロセスのローカル権限昇格の脆弱性CVE-2026-123039を突いてroot権限を取得し、PHPウェブシェルの設置と永続化を行いました。
10月下旬、攻撃者はイスラエルの複数の組織が運用するCheck Point Mobile Accessゲートウェイを狙いました。Mobile Accessポータルがログインページの生成に使うディレクトリにPHPウェブシェルを配置し、コマンドの送信と環境内での足場の強化を可能にしました。
次に、バックドアアクセスとネットワーク機能の傍受を目的に、マルウェアフレームワークPhiliKitの亜種であるTSGAとTSProxyを展開しました。PhiliKitは、中国との関連が指摘されるUNC5221がIvanti製品に侵入した際にも確認されています（PDF）。
その後、攻撃者は内部資産の探索を行い、VMware ESXiホストへ横展開しました。そこでワイパーを展開・実行し、Dream Securityに言及するメモを残しました。
Check Pointによると、攻撃者の活動時間帯は中国の一般的な勤務時間と一致していました。ただ、中国と関連するマルウェアやインフラが使われていた一方で、ワイパーの使用や破壊的な性質は、これまで知られている中国のサイバー作戦とは一致しません。
Check Pointは「証拠を総合しても、この作戦の真の性質を高い確度で判断することはできません。特定された攻撃者がキャンペーン全体を実行した、初期アクセスブローカーとしてのみ関与した、偽旗作戦に加わったなど、複数のシナリオがいずれも成り立ちます。破壊活動が目くらましとして使われた可能性もあります」と述べています。
第2波では、第1波で標的となったイスラエルの一部組織を含め、世界中の組織のCheck Point Security Gatewayが狙われました。この第2波では、破壊活動は確認されていません。
Check Pointは「どちらの波にも明確な業種の偏りは見られませんでした。特定の業種を狙ったものではなく、機会を捉えた初期アクセスの試みだったことがうかがえます」と指摘しています。
翻訳元: https://www.securityweek.com/php2shell-exploited-in-destructive-check-point-gateway-attacks/
