Check Point confirma exploração de gateways com implantes e wiper

A atualização decisiva alega que invasores combinaram PHP2Shell com a CVE-2026-123039 para obter privilégios root em gateways Check Point, instalar implantes persistentes e, em uma cadeia investigada, chegar a um wiper em VMware ESXi. A orientação divulgada é instalar o Jumbo Hotfix mais recente de cada linha e investigar sistemas expostos.[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

O relato comunitário situa o começo da exploração em 30 de outubro de 2026, por portais Mobile Access de gateways não corrigidos. Ele descreve uma primeira onda contra organizações israelenses, com atividade destrutiva, e uma segunda onda em 2 de novembro, mais ampla e sem evidência de destruição nos casos mencionados.[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

O risco vai além do próprio gateway. Se a cadeia descrita estiver correta, um serviço exposto pode abrir caminho para controle root, persistência e movimento até a infraestrutura de virtualização, onde um componente destrutivo teria impacto muito maior. Essa progressão torna a correção e a investigação igualmente urgentes.[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

A recomendação publicada é aplicar o Jumbo Hotfix mais recente correspondente a cada linha do produto e investigar gateways que ficaram expostos. A simples instalação da correção não esclarece se houve comprometimento anterior, por isso a busca deve considerar sinais de webshells, implantes persistentes e acesso subsequente a outros sistemas.[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

O lote sustenta a existência de uma publicação da Check Point Research e de relatos que descrevem a cadeia técnica, mas não inclui o texto do relatório primário. A autoria também permanece incerta: o relato comunitário aponta semelhanças com o framework PhiliKit, anteriormente associado ao UNC5221, mas reconhece sinais conflitantes e não determina quem conduziu toda a operação.[3]research.checkpoint.comresearch.checkpoint.com · rssAbrir fonte originalVer na lista de fontes[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes

O DailyDarkWeb afirma que a Check Point confirmou a combinação de PHP2Shell com a CVE-2026-123039 e destacou o wiper em uma das cadeias investigadas. Já a publicação no Reddit acrescenta datas, alvos, ferramentas e hipóteses de atribuição, mas é uma fonte comunitária e esses detalhes não aparecem diretamente no item primário fornecido.[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes[3]research.checkpoint.comresearch.checkpoint.com · rssAbrir fonte originalVer na lista de fontes

A sequência relatada começa com acesso por PHP2Shell em portais Mobile Access, segue para elevação de privilégios pela CVE-2026-123039 e instalação de persistência, e então se divide. Na primeira onda, os operadores teriam avançado por SSH até hosts ESXi e executado o destroy_v6. Na segunda, o alcance teria se tornado internacional, sem destruição observada nos casos descritos.[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

2 grupos independentes, 2 atualizações e 0 interações. Comunidades observadas: r/pwnhub.

A cadeia técnica descrita usa PHP2Shell para acesso inicial e a interface DynamicCLI, rastreada como CVE-2026-123039, para elevar privilégios. Depois, os invasores teriam implantado webshells PHP, o backdoor TSGA e o componente de rede TSProxy. Em um caso, o acesso teria avançado por SSH até VMware ESXi, onde o wiper destroy_v6 foi executado.[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes

A evidência mais próxima da origem é um item RSS que aponta para uma publicação da Check Point Research, mas veio sem título ou corpo. As afirmações concretas deste resumo dependem de uma postagem do DailyDarkWeb e de uma publicação comunitária extensa no Reddit. Assim, a cadeia geral está relatada de forma consistente, enquanto datas, ferramentas, alcance e atribuição ainda precisam ser conferidos no relatório primário completo.[3]research.checkpoint.comresearch.checkpoint.com · rssAbrir fonte originalVer na lista de fontes[1]DailyDarkWebx.com · DailyDarkWeb · xAbrir fonte originalVer na lista de fontes[2]Check Point Gateways Hit by PHP2Shell Exploits and Destructive Wiperreddit.com · _cybersecurity_ · r/pwnhub · redditAbrir fonte originalVer na lista de fontes