Détails de l'attaque
La société Check Point a révélé une campagne de cyberattaques ciblant ses passerelles de sécurité (Security Gateways), où les attaquants ont exploité des vulnérabilités critiques dans PHP connues sous le nom de PHP2Shell (enregistrées sous les codes CVE-2026-109618 et CVE-2026-109619). Ces attaques ont débuté le 30 octobre 2026, ciblant dans une première phase des organisations en Israël, avant de s'étendre le 2 novembre à des entreprises dans divers pays et secteurs.
Mécanisme d'intrusion et de propagation
Les attaquants ont utilisé la vulnérabilité PHP2Shell pour obtenir un accès non autorisé via le portail d'accès mobile (Mobile Access portal), puis ont exploité une nouvelle vulnérabilité zero-day portant le code CVE-2026-123039 pour obtenir des privilèges root. Par la suite, des portes dérobées telles que TSGA ont été installées, incluant un composant réseau appelé TSProxy pour masquer les commandes des attaquants au sein du trafic normal.
Dans les attaques ciblant les organisations israéliennes, les attaquants sont passés des passerelles compromises aux serveurs VMware ESXi en utilisant l'outil de reconnaissance réseau open source gogo. Dans la phase finale, un logiciel destructeur de données appelé destroy_v6 a été déployé, lequel supprime les données de manière répétée avec l'option de remplir les espaces avec des zéros pour empêcher la récupération des fichiers.
Pourquoi cette nouvelle est-elle importante ?
Cette attaque représente un danger majeur en raison de sa nature destructrice visant à perturber les activités plutôt qu'à demander une rançon, ce qui a été confirmé par des messages politiques laissés par les attaquants sur les systèmes compromis. Le rapport souligne également la dangerosité de combiner des vulnérabilités applicatives avec des vulnérabilités système (telles que la vulnérabilité Fragnesia dans le noyau Linux) pour obtenir des privilèges complets.
Recommandations de protection
Check Point recommande à tous ses clients de prendre immédiatement les mesures suivantes :
- Installer la mise à jour November Jumbo Hotfix sur tous les serveurs de gestion et les passerelles de sécurité, en donnant la priorité aux passerelles connectées à Internet.
- Rechercher des indicateurs de compromission tels que les fichiers de session contenant upload_progress_pwn.
- Surveiller les processus inattendus de CPconfigdaemon ou la présence de fichiers binaires inexpliqués.
- Vérifier les journaux du pare-feu à la recherche de toute activité SSH non autorisée depuis la passerelle vers les serveurs VMware ESXi internes.