آسیب‌پذیری ۱۴۰۵/۰۸/۲۳ · ۱ ساعت پیش منبع: Network World

سوءاستفاده مهاجمان از آسیب‌پذیری‌های فایروال‌های Check Point

The firewall becomes the foothold: Attackers turn Check Point gateways against customers

شرکت Check Point با انتشار اصلاحیه‌های اضطراری، یک آسیب‌پذیری با شدت بالا را در محصولات خود برطرف کرده است که به مهاجمان اجازه می‌دهد دسترسی ریشه (root) به سیستم‌های امنیتی پیدا کنند. این حملات که از اواخر اکتبر آغاز شده، از طریق ترکیب آسیب‌پذیری‌های اجرای کد از راه دور و نقص‌های ارتقای سطح دسترسی صورت گرفته است.

جزئیات فنی و نحوه نفوذ

مهاجمان ابتدا با بهره‌برداری از دو آسیب‌پذیری PHP با نام مستعار PHP2Shell (شناسه‌های CVE-2026-109618 و CVE-2026-109619) که امکان اجرای کد از راه دور بدون احراز هویت را فراهم می‌کنند، به پورتال دسترسی موبایل نفوذ کرده‌اند. پس از آن، با استفاده از آسیب‌پذیری CVE-2026-123039 که یک نقص ارتقای سطح دسترسی محلی در رابط IPC دیمون Gaia OS Dynamic CLI است، موفق به کسب دسترسی ریشه شده‌اند.

پس از دستیابی به سطح دسترسی ریشه، مهاجمان اقدام به نصب وب‌شل‌ها، بدافزارهای TSGA و TSProxy کرده‌اند که قابلیت ماندگاری در سیستم پس از راه‌اندازی مجدد را دارند. این مهاجمان سپس با حرکت عرضی به سمت میزبان‌های VMware ESXi، از بدافزار مخرب destroy_v6 برای پاکسازی سیستم‌ها استفاده کرده و پیام‌های سیاسی از گروهی با نام Dream Security Ltd بر جای گذاشته‌اند.

محصولات تحت تأثیر و پیامدهای امنیتی

محصولات آسیب‌دیده شامل Firewall، Multi-Domain Security Management Server، Security Gateway، Security Management Server و Scalable Platforms هستند. کارشناسان تأکید دارند که فایروال‌ها به دلیل قرارگیری در لبه شبکه و داشتن دسترسی‌های سطح بالا، به اهداف جذابی برای مهاجمان تبدیل شده‌اند و نباید به عنوان ابزارهای ذاتاً امن در نظر گرفته شوند.

این حملات نشان می‌دهد که چگونه نفوذ به یک تجهیز امنیتی می‌تواند به عنوان سکوی پرتابی برای دسترسی به سایر بخش‌های حساس شبکه و زیرساخت‌های مجازی‌سازی عمل کند.

نکته‌های کلیدی

بهره‌برداری از آسیب‌پذیری‌های PHP2Shell برای ورود اولیه به سیستم.
استفاده از نقص CVE-2026-123039 برای کسب دسترسی ریشه در Gaia OS.
تأثیرگذاری بر ده‌ها مشتری Check Point از اواخر اکتبر.
استفاده از بدافزارهای مخرب برای پاکسازی داده‌ها در محیط‌های مجازی‌سازی شده.
لزوم تغییر نگاه به تجهیزات امنیتی به عنوان دارایی‌های پرخطر و نیازمند نظارت دقیق.

توصیه‌های منبع

جمله‌های خود خبر، بدون تغییر: Network World

“Check Point advised security teams to immediately deploy the CVE-2026-123039 hotfixes, beginning with devices that expose Mobile Access to the internet.”
“Those who can’t do so right away should stop the dynamic_server process and prevent it from restarting.”
“Dickson also advised customers to turn off Mobile Access where it is not used, keep management interfaces off the internet entirely, and run the advisory’s log checks on any gateway exposed since late October, then cut the cord between the firewall and the hypervisor.”
“They should also ship firewall logs off the box, as they happen, to a system the firewall cannot touch.”

اخبار امنیتی

سوءاستفاده مهاجمان از آسیب‌پذیری‌های فایروال‌های Check Point

جزئیات فنی و نحوه نفوذ

محصولات تحت تأثیر و پیامدهای امنیتی

نکته‌های کلیدی

توصیه‌های منبع

آسیب‌پذیری‌های این خبر

این خبر در منابع دیگر