Gateway Check Point compromessi con la catena PHP2Shell e privilegi root

Check Point ha confermato che dalla fine di ottobre alcuni Mobile Access Portal vulnerabili sono stati presi di mira attraverso una catena associata a CVE-2026-109618 e CVE-2026-109619. Le prime operazioni, provenienti dall'indirizzo 130.94.19[.]204, hanno colpito organizzazioni israeliane circa una settimana dopo la disponibilità delle correzioni e in alcuni casi avrebbero prodotto una compromissione riuscita. Dopo l'accesso iniziale, l'attaccante ha sfruttato CVE-2026-123039 nel meccanismo DynamicCLI IPC per passare dall'account del servizio del portale a root. I privilegi ottenuti sono stati usati per installare web shell PHP e mantenere l'accesso ai gateway. Una seconda ondata di scansioni del 2 novembre ha raggiunto sia obiettivi già selezionati sia organizzazioni in altri Paesi, senza una chiara preferenza settoriale. La presenza di sfruttamento reale, persistenza e controllo root rende urgente verificare le versioni installate, cercare indicatori di compromissione e non limitarsi alla sola applicazione delle patch.

Source: 0dayfans