آسیب‌پذیری ۱۴۰۵/۰۸/۲۲ · ۱۵ ساعت پیش منبع: BleepingComputer

حملات سایبری علیه درگاه‌های امنیتی Check Point با استفاده از آسیب‌پذیری‌های PHP2Shell

Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper

مهاجمان با بهره‌برداری از آسیب‌پذیری‌های بحرانی PHP2Shell و یک نقص امنیتی روز صفر، به درگاه‌های امنیتی Check Point نفوذ کرده و اقدام به استقرار بدافزارهای مخرب و پاک‌کننده داده‌ها در محیط‌های VMware ESXi کرده‌اند. این حملات که از ۳۰ اکتبر آغاز شد، ابتدا سازمان‌های اسرائیلی و سپس شرکت‌هایی در کشورهای مختلف را هدف قرار داد.

جزئیات فنی و زنجیره حمله

مهاجمان از دو آسیب‌پذیری بحرانی PHP با شناسه‌های CVE-2026-109618 و CVE-2026-109619 که به PHP2Shell معروف هستند، برای اجرای کد از راه دور بدون نیاز به احراز هویت استفاده کردند. پس از نفوذ اولیه از طریق پورتال Mobile Access، مهاجمان با بهره‌گیری از یک آسیب‌پذیری روز صفر با شناسه CVE-2026-123039 به دسترسی ریشه (root) دست یافتند.

در مراحل بعدی، مهاجمان اقدام به نصب وب‌شل‌های PHP و بک‌دور TSGA کردند که شامل مؤلفه TSProxy برای پنهان‌سازی دستورات در ترافیک عادی شبکه است. در حملات علیه سازمان‌های اسرائیلی، مهاجمان با استفاده از ابزار شناسایی شبکه gogo، به سمت میزبان‌های VMware ESXi حرکت کرده و بدافزار پاک‌کننده داده به نام destroy_v6 را مستقر کردند که با بازنویسی داده‌ها، امکان بازیابی اطلاعات را دشوار می‌کند.

پیامدهای عملیاتی و انتساب حمله

در جریان حملات تخریبی، پیامی سیاسی با نام DREAM_ANNEXATION.txt در میزبان‌های ESXi قرار داده شد که نشان‌دهنده هدف مهاجمان برای ایجاد اختلال و آسیب‌رسانی است. اگرچه برخی شواهد فنی، ابزارهای مورد استفاده را به چارچوب PhiliKit و گروه UNC5221 مرتبط می‌سازد، اما به دلیل ماهیت پیچیده عملیات و احتمال استفاده از پرچم‌های دروغین، انتساب قطعی این حملات هنوز امکان‌پذیر نیست.

موج دوم حملات که در ۲ نوامبر شناسایی شد، فاقد فعالیت‌های تخریبی بود، اما جزئیات اقدامات بعدی مهاجمان در این مرحله همچنان نامشخص باقی مانده است.

نکته‌های کلیدی

بهره‌برداری از آسیب‌پذیری‌های PHP2Shell و نقص روز صفر CVE-2026-123039 برای دسترسی ریشه.
استفاده از ابزار gogo برای شناسایی شبکه و استقرار بدافزار پاک‌کننده destroy_v6.
شناسایی بک‌دور TSGA و مؤلفه TSProxy برای مخفی‌سازی ارتباطات مهاجم.
افزودن آسیب‌پذیری‌های PHP2Shell به کاتالوگ KEV توسط CISA.
انتشار پیام‌های سیاسی در سیستم‌های قربانی و رد مذاکرات باج‌گیری.

توصیه‌های منبع

جمله‌های خود خبر، بدون تغییر: BleepingComputer

“Check Point recommends that customers install the November Jumbo Hotfix on all Management Servers and Security Gateways, prioritizing those with internet-facing Mobile Access portals.”
“Administrators should also check for signs of compromise on previously exposed gateways, including session files containing upload_progress_pwn, unexpected CPconfigdaemon processes or binaries, and unexplained gaps in firewall logs.”

اخبار امنیتی

حملات سایبری علیه درگاه‌های امنیتی Check Point با استفاده از آسیب‌پذیری‌های PHP2Shell

جزئیات فنی و زنجیره حمله

پیامدهای عملیاتی و انتساب حمله

نکته‌های کلیدی

توصیه‌های منبع

آسیب‌پذیری‌های این خبر

این خبر در منابع دیگر