Passerelles Check Point piratées via PHP2Shell : une porte dérobée et un wiper pour VMware ESXi

Une semaine. C'est le délai, très court, qui a séparé la sortie du correctif PHP2Shell pour les passerelles Check Point des premières attaques. Et surtout, elles ont été concluantes pour les attaquants avec à la clé un accès root, une porte dérobée et un wiper lâché sur les serveurs VMware ESXi.

PHP2Shell ne quitte plus l'actualité depuis les correctifs d'urgence publiés par PHP le 21 octobre. Et, je suis désolé, mais ce nouvel événement mérite qu'on en parle encore une fois de plus. Pour rappel, derrière le nom PHP2Shell se cachent des failles critiques (CVE-2026-109618 et CVE-2026-109619) qui offrent une exécution de code à distance sans authentification.

Cette fois, l'alerte provient de chez Check Point. L'éditeur a annoncé que ses passerelles ont été visées via leur portail d'accès distant Mobile Access (VPN SSL), qui s'appuie sur... PHP ! Le 12 novembre 2026, Check Point a d'ailleurs publié un bulletin de sécurité accompagné par une analyse de Check Point Research. Ce rapport évoque notamment des cyberattaques.

Les attaques ont eu lieu entre le 30 octobre et le 4 novembre, alors que Check Point avait publié son correctif le 23 octobre. "Seule une vingtaine de systèmes non patchés, dans une seule région, ont été compromis.", précise l'éditeur. Autrement dit, il s'est passé seulement une semaine entre la publication du patch et les premières attaques : un délai tout de même très court, surtout quand il s'agit de patcher un équipement en production.

De la passerelle Check Point à l'hôte VMware ESXi

La première vague, lancée le 30 octobre, visait des organisations israéliennes. Ici, l'accès root ne passe pas par la faille noyau Fragnesia, mais par une zero-day de Gaia OS, le système des passerelles Check Point. Au-delà de s'en prendre à l'équipement Check Point, les pirates ont été plus loin puisqu'ils ont compromis des hôtes VMware ESXi. La passerelle Check Point a donc permis de pivoter vers le réseau interne des entreprises ciblées.

En résumé, voici les points clés :

• Accès initial : exploitation de PHP2Shell via le portail Mobile Access exposé sur Internet.

• Élévation de privilèges : élévation de privilèges en tant que root grâce à la faille CVE-2026-123039 (CVSS 7,8). Le démon DynamicCLI, qui exécute des commandes d'administration en root, écoute sur un socket local ouvert à tous, sans authentification.

• Persistance : des webshells PHP, puis la porte dérobée TSGA, déguisée en processus CPconfigdaemon.

• Mouvement latéral : découverte du réseau avec le scanner open source gogo, puis connexion SSH vers un hôte VMware ESXi avec le compte vpxuser.

• Destruction : exécution du wiper destroy_v6.

La dernière étape est importante puisqu'elle constitue l'exécution d'un wiper. Ce type de malware a été déployé pour supprimer récursivement les fichiers d'un répertoire, après les avoir écrasés avec des zéros. Sa note DREAM_ANNEXATION.txt, rédigée en hébreu, rejette toute négociation : le but est de détruire. La seconde vague, lancée à partir du 2 novembre, plus large et sans destruction observée, ressemble selon Check Point à des tentatives d'accès initial opportunistes.

Note : vpxuser est le compte que vCenter crée sur chaque hôte ESXi qu'il administre, avec un mot de passe aléatoire stocké dans la base de vCenter. Check Point n'explique pas comment l'attaquant l'a obtenu.

Une attribution pas évidente...

Qui est à l'origine de ces attaques ? Check Point Research a tenté de trouver une explication. TSGA et TSProxy seraient des variantes modifiées de PhiliKit, un framework documenté par ESET lors d'attaques contre Ivanti et associé à UNC5221, un groupe lié à la Chine. Il y a des points communs, notamment dans le code, la configuration ou encore les certificats TLS. Les scans, concentrés entre 0 h et 9 h UTC (heures de bureau en Chine), vont dans le même sens.

Mais une opération destructrice, une cible israélienne, une note en hébreu et la marque de l'éditeur israélien Dream Security collent mal avec UNC5221, plutôt tourné vers l'espionnage. Cependant, Dream Security venait d'attribuer à des acteurs liés à la Chine l'exploitation de PHP2Shell chez Palo Alto Networks (vraisemblablement le rapport sur les 24 firewalls évoqué dans un précédent article).

Check Point évoque de possibles représailles, sans motif établi, mais n'exclut ni une revente des accès, ni une opération sous faux drapeau pour brouiller les pistes. "Les éléments ne nous permettent pas d'évaluer avec un haut niveau de confiance la véritable nature de cette opération.", reconnaissent les chercheurs.

Quoi qu'il en soit, si vous utilisez Check Point, il faut patcher. En effet, Check Point recommande d'installer le Jumbo Hotfix de novembre sur tous les serveurs de management et Security Gateways, en commençant par les portails Mobile Access exposés sur Internet. Ceci permet de corriger la faille PHP2Shell et d'autres vulnérabilités.

Tous les détails à propos de ces patchs et des indicateurs de compromission sont disponibles dans le bulletin publié par Check Point.

Ajouter IT-Connect à mes
sources préférées

Cofondateur d'IT-Connect et Microsoft MVP "Cloud and Datacenter Management". Mon obsession depuis près de 15 ans ? Rendre l'administration système et la cybersécurité accessibles, que vous soyez junior ou confirmé. Plus qu'un métier, l'IT est pour moi une véritable passion. J’accompagne au quotidien les sysadmins et les professionnels de l’IT dans leur montée en compétences et leur veille technique.