Check Point 公司披露，威胁行为者利用“PHP2Shell”漏洞入侵其网关（Gateway）设备，并向受害组织部署破坏性软件（Wiper）。这些攻击分两波进行：第一波始于 10 月 30 日，针对以色列境内的机构，并伴有明显的破坏活动；第二波始于 11 月 2 日，针对全球多个国家的组织，但未观察到类似的破坏活动。
攻击的技术机制
攻击者在入侵过程中依赖一系列连续的漏洞来确保完全控制。行动始于利用 PHP2Shell 漏洞（注册编号为 CVE-2026-109618 和 CVE-2026-109619），这些关键漏洞允许远程代码执行（RCE），影响 PHP 5 及以上的所有版本。尽管相关补丁已于 10 月 21 日发布，但大规模利用在补丁发布前后均有发生。
在获得初始访问权限后，攻击者利用了 CVE-2026-123039 漏洞，这是一个存在于 DynamicCLI 进程中的本地权限提升（Local Privilege Escalation）漏洞，使他们能够获得“root”权限。这种控制权使攻击者能够植入“webshell”文件以确保在系统内的持久性，并使用 TSGA 和 TSProxy 等工具（恶意框架 PhiliKit 的变体）来建立后门并拦截网络功能。
扩张与破坏活动
在第一波攻击中，攻击者针对以色列机构的 Check Point 移动访问网关，在网关用于配置登录页面的目录中植入 webshell 文件。在发现内部资产后，攻击者进行横向移动（Lateral Movement）到达 VMware ESXi 主机，并在留下指向 Dream Security 公司的信息之前运行了破坏性的 Wiper 软件。
这些攻击令人困惑之处
此次行动引发了复杂的安全质疑；尽管攻击者在传统的中国工作时间内活动，并使用了与中国组织相关的基础设施和软件，但使用 Wiper 进行破坏的性质通常与已知的中国网络行动不符。Check Point 公司提出了几种可能的情况：要么是该特定组织对整个行动负责，要么它仅作为初始访问代理（Initial Access Broker）运作，或者整个行动是一场旨在误导调查的“假旗行动”（False-flag operation），又或者破坏活动仅仅是其他行动的掩护。该公司还指出，攻击并未表现出对特定行业的偏好，这表明这些是机会主义的利用尝试。