攻撃者は、新たに公開された権限昇格の脆弱性とPHP2Shellを連鎖させてゲートウェイを乗っ取り、ネットワーク構成情報を窃取したうえで、破壊型マルウェアを展開しました。
ファイアウォールは、攻撃者が越えられない境界であるはずです。
しかし、ファイアウォールはWebに面しているため、ほかのシステムと同様に攻撃を受ける危険があります。Check Point Softwareが複数の製品向けに公開した緊急ホットフィックスは、その一例です。このパッチが対処するのは、深刻度の高い権限昇格の脆弱性CVE-2026-123039です。この脆弱性を悪用されると、攻撃者はroot権限を取得し、中核的なバックグラウンドプロセスであるGaia OSのDynamic CLIデーモンにコマンドを送信できてしまいます。
攻撃者は10月下旬からCVSSスコア7.8のこの脆弱性を悪用しており、Check Pointによると、「数十社」の顧客が被害を受けたということです。
驚くことではありませんが、攻撃者が最初の侵入経路としたのはPHP2Shellです。これは、CVE-2026-109618とCVE-2026-109619として追跡されている、PHPの2件の重大な脆弱性の総称です。深刻度9.2とされるこれらのバグにより、認証なしでリモートコード実行（RCE）が可能になります。
Dickson ResearchのFrank Dickson氏は、次のように指摘します。「顧客にとっては、たった一つの足がかりから、スパイ活動、潜伏、破壊というフルコースが提供されてしまいました。Check Pointにとっての代償は信頼です。ファイアウォールはネットワークで最も堅牢な地点であるべきで、最も脆弱な地点であってはなりません」
意図せぬroot権限の付与
CVE-2026-123039は、Dynamic CLI IPC（プロセス間通信）インターフェースに存在するバグです。このインターフェースは、root権限で動作するGaia OSのDynamic CLIに、特権コマンドの要求を送ります。ローカルでの権限昇格の脆弱性であり、攻撃者があらかじめアプライアンス上でローカルコードを実行できる必要があります。スコアが7.8にとどまるのは、このためです。
攻撃者はまず、PHP2Shellの脆弱性を悪用してMobile Accessポータルへのアクセスを獲得しました。続いて、ゼロデイであるCVE-2026-123039のエクスプロイトを使い、root権限へ昇格しています。
Dickson氏は「root権限を握られれば、攻撃者は何でも実行できます」と述べます。アプライアンス上の管理サービスはroot権限で動作し、機器上のあらゆるプロセスが書き込めるローカルソケットで待ち受けており、呼び出し元の確認も一切行わないといいます。
今回のケースで攻撃者は、ポータルがログインページの生成に使うテンプレートの中にWebシェルを隠したと、同氏は説明します。さらに、TSGAバックドアとTSProxyマルウェアを設置しました。これらは再起動後も残り続け、バックアップやスナップショットにも入り込み、アプライアンス自身のプロセスの中に身を潜めます。
同氏は「このバックドアはファイアウォールの設定をコピーできます。設定はいわばネットワークの設計図です」と語ります。ファイアウォールのログを改ざんして、攻撃者の活動を隠蔽することも可能です。
ニュースレター
AIに関するニュース、分析、洞察
AIのリスクとメリットに向き合うIT責任者のための、各サイトの編集者による特別シリーズです。
最新のAI情報を毎週火曜日に配信
Check Pointによると、攻撃者はroot権限を得た後、侵害したゲートウェイからSSH経由でVMware ESXiホストへ横展開しました。そのうえでワイパーのdestroy_v6を展開し、破壊の段階では、Dream Security Ltdと名乗るグループの署名入りで、政治的なメッセージを残しています。
Check Pointはセキュリティチームに対し、CVE-2026-123039のホットフィックスを直ちに適用するよう勧告しています。まずは、Mobile Accessをインターネットに公開しているデバイスから着手してください。すぐに適用できない場合は、dynamic_serverプロセスを停止し、再起動しないようにする必要があります。ただし、一部のCLIコマンドが使えなくなる可能性があると、同社は警告しています。
Dickson氏はさらに、顧客に次の対策を勧めています。Mobile Accessを使っていなければ無効にします。管理インターフェースはインターネットから完全に切り離します。10月下旬以降に公開状態だったゲートウェイでは、アドバイザリに記載のログ確認を実施します。そのうえで、ファイアウォールとハイパーバイザー間の経路を遮断します。侵害の恐れがあるゲートウェイから、VMware ESXiへの信頼された経路を残してはなりません。
ファイアウォールのログも、発生と同時に機器の外へ転送し、ファイアウォールが手出しできないシステムに保管すべきだといいます。
CVE-2026-123039の影響を受ける製品は、Check Pointの Firewall、Multi-Domain Security Management Server、Security Gateway、Security Management Server、Scalable Platformsです。
Infotechのテクニカルカウンセラー、Erik Avakian氏は次のように説明します。攻撃者がroot権限を得ると、そのデバイスは、本来なら保護されているはずの他システムを攻撃するための、信頼された踏み台になります。ゲートウェイを事実上掌握すれば、さまざまな悪質行為を実行できるのです。
Avakian氏は、この件の全体的な教訓であり皮肉でもある点を指摘します。組織が自らを守るために導入した技術そのものが、最大の弱点の一つになりかねないということです。
同氏は「保護を目的に設計されているからといって、セキュリティインフラが本質的に安全だと考えることは、もはや許されません」と述べます。実際には、守る対象のシステムと同じくらい、攻撃の標的になっているのです。
同氏によると、ファイアウォール、VPNアプライアンス、セキュリティゲートウェイは、最も大きな影響力と支配力を得られるため、狙われるケースが増えています。そのためセキュリティチームは、これらの機器を高価値な資産として扱う必要があります。ほかの重要インフラと同じ水準で、アクセス制御、脆弱性管理、監視、インシデント対応を徹底しなければなりません。
具体的には、インターネットに面したシステムへ積極的にパッチを適用し、管理アクセスを制限し、通常とは異なる管理操作を監視し、永続化や横展開の兆候を探すことだといいます。ただし、パッチを適用しても、すでに侵入した攻撃者は排除できません。そのためセキュリティチームは調査を行い、必要に応じて、信頼できるイメージから影響を受けたシステムを再構築する必要があると、同氏は述べます。
また、AIによって攻撃が加速していることから、CISOはID、ネットワーク、アプリケーション、データ、デバイスという各柱を横断して、ゼロトラストの考え方とアーキテクチャを全社で確立することも検討すべきだと、同氏は語ります。
エッジへの警戒を
DataBeeのCTO、Scott Miserendino氏は、エッジデバイスが主要な標的になっていると指摘します。境界に位置し、特権的なアクセス権を持つ一方で、ほかのシステムのようなエンドポイント監視はほとんど受けていないためです。セキュリティアプライアンスは、今やそれほどリスクの高い資産になっており、そのように扱うべきだといいます。
同氏は、パッチ適用と緩和策の実施に加えて、防御側は侵害を受けている前提で動くべきだと助言します。公開されている侵害指標（IOC）を探し、ネットワークとエンドポイントのセキュリティログを定期的に調査し、ネットワークを分割して被害範囲を抑えることです。「セキュリティツールが自動的に安全になるわけではありません。だからこそ、防御する側を守る必要があります」と、同氏は述べます。
Dickson氏はさらに、PHP2Shellは今後も繰り返し現れると指摘します。PHPは、セキュリティアプライアンスに組み込まれたポータルを含め、数多くのWebソフトウェアの基盤になっているためです。防御側は常に警戒対象に入れておく必要があります。
主要な標的となる管理プレーン
攻撃者の被害に遭っているのは、Check Pointだけではありません。ファイアウォールの管理機能は、業界全体で攻撃者に好まれる標的になっています。
たとえば1月には、Fortinetが公表しました。攻撃者がFortiCloudのシングルサインオンを悪用して、他の顧客のFortiGateやFortiManagerにログインし、管理者アカウントを作成していたのです。7月と9月には、CISAがCheck Pointの管理サーバーの脆弱性を、悪用が確認された脆弱性のカタログに追加しています。
同じ月に、CISAはCisco Secure Firewall Management Centerの脆弱性も追加しました。深刻度は最高の10.0で、認証なしの攻撃者にroot権限を与えるものです。さらに10月には、Palo Alto NetworksがPAN-OSの管理インターフェースに対する攻撃を警告しました。このときも狙いは「ファイアウォールのroot権限」でした。
Dickson氏は「理屈は単純です」と語ります。「管理プレーンは、ネットワーク全体のルールブックを握っているからです」
脆弱性の少ないベンダーに乗り換える手もありますが、それは一つの弱点を別の弱点に取り替えるだけだと、同氏は指摘します。どのベンダーのエッジデバイスにもWebポータルがあり、Webポータルはどれも入り口になるからです。「解決策は、入り口を減らすことです。インターネットに面したエッジを縮小し、リモートアクセスを一貫した単一のID方針の下に置いてください」と助言します。
結局のところ、ファイアウォールは壁ではなく、インターネット上に置かれたコンピューターだと、同氏は強調します。「攻撃者はそのように扱っています。セキュリティチームも、そのつもりで守るべきです」
