Check-Point-Gateways durch PHP2Shell-Kette kompromittiert und Root-Rechte erlangt

Check Point hat bestätigt, dass seit Ende Oktober einige verwundbare Mobile Access Portals über eine Angriffskette ins Visier genommen wurden, die mit CVE-2026-109618 und CVE-2026-109619 in Verbindung steht. Die ersten Angriffe, die von der Adresse 130.94.19[.]204 ausgingen, trafen israelische Organisationen etwa eine Woche nach der Bereitstellung der Fehlerbehebungen und sollen in einigen Fällen zu einer erfolgreichen Kompromittierung geführt haben. Nach dem initialen Zugriff nutzte der Angreifer CVE-2026-123039 im DynamicCLI-IPC-Mechanismus aus, um vom Dienstkonto des Portals zu Root-Rechten zu gelangen. Die erlangten Rechte wurden dazu verwendet, PHP-Webshells zu installieren und den Zugriff auf die Gateways aufrechtzuerhalten. Eine zweite Scan-Welle am 2. November erreichte sowohl bereits ausgewählte Ziele als auch Organisationen in anderen Ländern, ohne eine klare Präferenz für bestimmte Branchen. Die nachgewiesene aktive Ausnutzung, die Persistenz und die Kontrolle mit Root-Rechten machen es dringend erforderlich, die installierten Versionen zu überprüfen, nach Anzeichen einer Kompromittierung zu suchen und sich nicht allein auf das Einspielen der Patches zu beschränken.

Quelle: 0dayfans