Angreifer verketteten PHP2Shell mit Root-Lücke auf Check-Point-Gateways

Angreifer haben zwischen Ende Oktober und Anfang November mehrere Sicherheitslücken kombiniert und sind in ungepatchte Check-Point-Gateways eingebrochen. Dabei verschafften sie sich über eine Root-Lücke volle Kontrolle über die Geräte. In mindestens einem Fall haben sie anschließend mit einem Wiper Daten auf einem ESXi-Host gelöscht. Admins sollten umgehend handeln und ihre Instanzen absichern. Ob die Attacken andauern, ist unklar.

Die Gefahr

In einem Beitrag führt Check Point aus, dass die Angreifer für den Initialzugriff php2shell-Lücken (CVE-2026-109618 „kritisch“, CVE-2026-109619 „kritisch“) in über das Internet erreichbaren Mobile-Access-Portalen ausnutzen. Anschließend setzen sie an einer lokal ausnutzbaren Schwachstelle (CVE-2026-123039 „hoch“) im Gaia-Betriebssystem des Anbieters von IT-Sicherheitslösungen an. Dafür brauchen Angreifer bereits Zugriff auf das Gerät, und den verschafft ihnen php2shell.

Sind Attacken erfolgreich, verfügen Angreifer über Root-Rechte und platzieren für einen dauerhaften Zugriff Webshells und Hintertüren im System. In einem von Check Point untersuchten Fall suchten die Angreifer vom kompromittierten Gateway aus mit dem Scanner „gogo“ nach internen Systemen und gelangten per SSH auf einen VMware-ESXi-Host. Dort setzten sie den Wiper „destroy_v6“ ein. Die Schadsoftware überschreibt Dateien und löscht sie. Um Lösegeld geht es den Angreifern offenbar nicht: Eine hinterlassene, politisch gefärbte Notiz lehnt Lösegeldverhandlungen ausdrücklich ab.

Die erste Angriffswelle startete am 30. Oktober und richtete sich gegen Organisationen in Israel. Ab dem 2. November beobachtete Check Point Scans in mehreren Ländern, aber keine Hinweise auf Zerstörung. Der Hersteller spricht von einigen Dutzend kompromittierten Systemen in einer Region. Wer hinter den Attacken steckt, ist derzeit unklar. Die eingesetzten Backdoors ähneln zwar dem Malware-Framework PhiliKit, das ESET der China zugeordneten Gruppe UNC5221 zuschreibt. Check Point schließt aber auch eine falsche Fährte nicht aus.

Von der Root-Lücke sind einer Warnmeldung zufolge Security Gateways/Firewalls, Management- und Log-Server, Multi-Domain-Management- und -Log-Server sowie Maestro Orchestrator mit den Versionen R81, R81.10, R81.20, R82, R82.10 und R82.20 betroffen. Spark Firewalls und Smart-1 Cloud nennt der Hersteller ausdrücklich als nicht betroffen. Die US-Cybersicherheitsbehörde CISA hat die Gaia-Lücke inzwischen in ihren Katalog aktiv ausgenutzter Schwachstellen aufgenommen.

Systeme schützen

Check Point empfiehlt, den November-Jumbo-Hotfix auf Management-Servern und Security Gateways zu installieren. Er schließt sowohl die php2shell-Lücken als auch die Root-Lücke. Gegen die Root-Lücke helfen die Jumbo Hotfix Accumulators ab Take 174 (R81.20), Take 132 (R82), Take 52 (R82.10) und Take 14 (R82.20). Für die nicht mehr unterstützten Versionen R81 und R81.10 nennt Check Point keinen Fix. Dort bleibt nur, den Prozess dynamic_server zu stoppen, wodurch allerdings Dynamic-CLI-Befehle ausfallen.

Wer bislang nur den seit dem 23. Oktober verfügbaren php2shell-Hotfix installiert hat, ist gegen die Root-Lücke nicht geschützt. Ein Patch entfernt außerdem keine bereits installierten Hintertüren. Admins sollten deshalb anhand der von Check Point veröffentlichten Indicators of Compromise (IoC) prüfen, ob Angreifer bereits Webshells oder Hintertüren installiert haben.