Passerelles Check Point compromises via la chaîne PHP2Shell et des privilèges root

Check Point a confirmé que, depuis la fin du mois d’octobre, certains Mobile Access Portal vulnérables ont été pris pour cible au moyen d’une chaîne associée aux vulnérabilités CVE-2026-109618 et CVE-2026-109619. Les premières opérations, provenant de l'adresse 130.94.19[.]204, ont touché des organisations israéliennes environ une semaine après la mise à disposition des correctifs et auraient, dans certains cas, abouti à une compromission. Après l'accès initial, l'attaquant a exploité CVE-2026-123039 dans le mécanisme DynamicCLI IPC afin de passer du compte de service du portail à root. Les privilèges obtenus ont été utilisés pour installer des web shells PHP et maintenir l'accès aux passerelles. Une deuxième vague d’analyses, menée le 2 novembre, a atteint à la fois des cibles déjà sélectionnées et des organisations situées dans d’autres pays, sans préférence sectorielle claire. L’existence d’une exploitation réelle, de mécanismes de persistance et d’un contrôle root rend urgent de vérifier les versions installées, de rechercher des indicateurs de compromission et de ne pas se limiter à la seule application des correctifs.

Source : 0dayfans