Check Point, tehdit aktörlerinin ağ geçidi (Gateway) cihazlarına sızmak ve kurban kuruluşları hedef alan yıkıcı yazılımlar (Wiper) yaymak için "PHP2Shell" açıklarını kullandığını açıkladı. Bu saldırılar iki ardışık dalga halinde gerçekleştirildi; ilki 30 Ekim'de başlayarak İsrail'deki kuruluşları hedef aldı ve belirgin bir yıkıcı faaliyet gösterdi, ikinci dalga ise 2 Kasım'da başlayarak dünya genelindeki çeşitli ülkelerdeki kuruluşları hedef aldı ancak benzer bir yıkıcı faaliyet gözlemlenmedi.
Saldırının Teknik Mekanizması
Saldırganlar, tam kontrol sağlamak için bir dizi ardışık açıktan yararlanarak sızma işlemini gerçekleştirdi. Süreç, PHP'nin 5. sürümünden itibaren tüm sürümlerini etkileyen ve uzaktan kod yürütmeye (RCE) olanak tanıyan kritik açıklar olan PHP2Shell (CVE-2026-109618 ve CVE-2026-109619 kodlarıyla kayıtlı) açıklarının istismarı ile başladı. Gerekli yamalar 21 Ekim'de yayınlanmış olmasına rağmen, geniş çaplı istismar bu tarihten hemen önce ve sonra başladı.
İlk erişimi sağladıktan sonra saldırganlar, DynamicCLI süreci içinde yerel bir ayrıcalık yükseltme (Local Privilege Escalation) açığı olan CVE-2026-123039'u istismar ederek "root" yetkileri elde ettiler. Bu kontrol, saldırganların sistemde kalıcılığı sağlamak için "webshell" dosyaları yerleştirmelerine ve arka kapılar oluşturup ağ işlevlerini kesmek için TSGA ve TSProxy (PhiliKit kötü amaçlı yazılım çerçevesinin varyantları) gibi araçları kullanmalarına olanak tanıdı.
Genişleme ve Yıkıcı Faaliyet
İlk dalgada saldırganlar, İsrail'deki kuruluşlarda bulunan Check Point Mobile Access ağ geçitlerini hedef aldı ve giriş sayfalarını yapılandırmak için kullanılan dizinlere webshell dosyaları yerleştirdi. Dahili varlıkları keşfettikten sonra saldırganlar, VMware ESXi ana bilgisayarlarına doğru yanal hareket (Lateral Movement) gerçekleştirdi ve Dream Security şirketine atıfta bulunan bir mesaj bırakmadan önce yıkıcı Wiper yazılımını çalıştırdı.
Bu Saldırıları Şaşırtıcı Kılan Nedir?
Bu kampanya karmaşık güvenlik sorularını beraberinde getiriyor; saldırganlar geleneksel Çin mesai saatleri içinde faaliyet göstermelerine ve Çinli gruplarla bağlantılı altyapı ve yazılımları kullanmalarına rağmen, Wiper kullanarak gerçekleştirilen saldırının yıkıcı doğası, bilinen Çin siber operasyonlarıyla genellikle örtüşmüyor. Check Point, birkaç olası senaryo öne sürüyor: Ya belirlenen taraf kampanyanın tamamından sorumludur, ya sadece ilk erişim aracısı (Initial Access Broker) olarak hareket etmiştir, ya da operasyonun tamamı soruşturmaları yanıltmayı amaçlayan bir "yanıltıcı bayrak operasyonu" (False-flag operation) olabilir veya yıkıcı faaliyet diğer operasyonlar için sadece bir örtü olabilir. Şirket ayrıca, saldırıların belirli bir sektöre yönelik tercih göstermediğini, bunun da fırsatçı istismar girişimleri olduğunu gösterdiğini belirtti.