攻击详情
Check Point 公司披露了一场针对其安全网关（Security Gateways）的网络攻击活动，攻击者利用了被称为 PHP2Shell 的关键 PHP 漏洞（注册编号为 CVE-2026-109618 和 CVE-2026-109619）。这些攻击始于 2026 年 10 月 30 日，第一阶段主要针对以色列境内的机构，随后于 11 月 2 日扩展至其他国家和行业的公司。
入侵与传播机制
攻击者利用 PHP2Shell 漏洞通过移动访问门户（Mobile Access portal）进行未经授权的访问，随后利用一个代号为 CVE-2026-123039 的新型零日漏洞（Zero-day）获取根权限（Root privileges）。此后，攻击者安装了名为 TSGA 的后门，其中包含一个名为 TSProxy 的网络组件，用于将攻击者的指令隐藏在正常流量中。
在针对以色列机构的攻击中，攻击者利用开源网络侦察工具 gogo 从被入侵的网关横向移动到 VMware ESXi 服务器。在最后阶段，攻击者部署了一种名为 destroy_v6 的数据擦除软件，该软件会反复删除数据，并可选择用零填充空间以防止文件恢复。
为何此消息重要？
此次攻击具有极高的危险性，因为其目的在于破坏业务而非勒索赎金，攻击者在被入侵的系统上留下的政治信息证实了这一点。该报告还强调了将应用程序漏洞与系统漏洞（如 Linux 内核中的 Fragnesia 漏洞）相结合以获取完全权限的风险。
防护建议
Check Point 建议所有客户立即采取以下措施：
- 在所有管理服务器和安全网关上安装 November Jumbo Hotfix 更新，并优先处理连接到互联网的网关。
- 搜索包含 upload_progress_pwn 的会话文件等入侵指标。
- 监控 CPconfigdaemon 的异常进程或是否存在不明二进制文件。
- 检查防火墙日志，查看是否存在从网关到内部 VMware ESXi 服务器的未经授权的 SSH 活动。