Check Point社は、脅威アクターが「PHP2Shell」の脆弱性を悪用して同社のゲートウェイデバイスに侵入し、被害を受けた組織を標的とした破壊的ソフトウェア（ワイパー）を展開していることを明らかにしました。これらの攻撃は2つの連続した波で実行されました。第1波は10月30日に始まり、イスラエルの組織を標的として明確な破壊活動が行われました。一方、第2波は11月2日に始まり、世界中の複数の国の組織を標的としましたが、同様の破壊活動は確認されていません。
攻撃の技術的メカニズム
攻撃者は侵入プロセスにおいて、完全な制御を確保するために一連の連続した脆弱性を悪用しました。プロセスはPHP2Shellの脆弱性（CVE-2026-109618およびCVE-2026-109619として登録）の悪用から始まりました。これらはPHPのバージョン5以降すべてに影響を与える、リモートコード実行（RCE）を可能にする重大な脆弱性です。必要な修正プログラムは10月21日にリリースされましたが、広範な悪用はその前後から始まりました。
初期アクセスを獲得した後、攻撃者はDynamicCLIプロセス内のローカル特権昇格（LPE）の脆弱性であるCVE-2026-123039を悪用し、「root」権限を取得しました。この制御により、攻撃者はシステム内に永続性を確保するための「ウェブシェル」ファイルを設置し、TSGAやTSProxy（悪意のあるフレームワークPhiliKitの亜種）などのツールを使用してバックドアを作成し、ネットワーク機能を傍受することが可能になりました。
拡大と破壊活動
第1波において、攻撃者はイスラエルの組織のCheck Point Mobile Accessゲートウェイを標的にし、ログインページの構成に使用されるディレクトリにウェブシェルファイルを設置しました。内部資産を発見した後、攻撃者はVMware ESXiホストまで横展開（ラテラルムーブメント）を行い、Dream Security社を指し示すメッセージを残す前に破壊的なワイパーソフトウェアを実行しました。
この攻撃の不可解な点
このキャンペーンは複雑なセキュリティ上の疑問を提起しています。攻撃者は中国の標準的な勤務時間中に活動し、中国のグループに関連するインフラストラクチャやソフトウェアを使用していましたが、ワイパーを使用した攻撃の破壊的な性質は、一般的に知られている中国のサイバー作戦とは一致しません。Check Point社はいくつかの可能性のあるシナリオを提示しています。特定の主体がキャンペーン全体に責任を負っているか、初期アクセスブローカーとしてのみ機能したか、あるいは作戦全体が調査を誤導することを目的とした「偽旗作戦」であったか、あるいは破壊活動が他の作戦を隠蔽するための単なるカモフラージュであった可能性があります。同社はまた、攻撃が特定のセクターを優先していないことから、これらが日和見的な悪用試行である可能性も指摘しています。