Khai thác lỗ hổng PHP2Shell trên Check Point Gateway để cài backdoor TSGA
"Threat actors exploited PHP2Shell vulnerabilities (CVE-2026-109618, CVE-2026-109619) in Check Point Security Gateways to gain initial access. They then leveraged a local privilege escalation flaw (CVE-2026-123039) to deploy the TSGA backdoor and, in some cases, the destroy_v6 wiper, impacting ESXi files. Check Point has released security fixes for the affected products."
Các lỗ hổng PHP2Shell và CVE-2026-123039 cho phép kẻ tấn công leo thang đặc quyền và cài đặt backdoor, gây nguy cơ mất dữ liệu và kiểm soát hệ thống.
Sự cố này có thể gây gián đoạn hoạt động, tổn thất dữ liệu và thiệt hại uy tín cho các doanh nghiệp sử dụng sản phẩm Check Point. Việc vá lỗi và tăng cường bảo mật là cần thiết để giảm thiểu rủi ro.
Check Point ghi nhận việc khai thác các lỗ hổng PHP2Shell (CVE-2026-109618, CVE-2026-109619) trên các thiết bị bảo mật Gateway của họ từ ngày 30/10/2026. Kẻ tấn công sau đó lợi dụng lỗ hổng leo thang đặc quyền cục bộ (CVE-2026-123039) để triển khai backdoor TSGA và, trong một số trường hợp, phần mềm phá hủy dữ liệu destroy_v6, ảnh hưởng đến các tệp ESXi.
Các tổ chức tại Israel là mục tiêu đầu tiên, sau đó mở rộng sang nhiều quốc gia và lĩnh vực khác từ ngày 2/11/2026. Một số tổ chức bị tấn công trong đợt đầu tiên còn bị phá hoại dữ liệu bằng phần mềm độc hại.
CVE-2026-123039 (CVSS score: 7.8) cho phép leo thang đặc quyền lên root thông qua giao diện DynamicCLI. Kẻ tấn công có thể thực thi lệnh tùy ý bằng cách gửi một yêu cầu duy nhất đến socket. Check Point cho biết lỗ hổng này yêu cầu quyền thực thi mã cục bộ trên thiết bị và đã được khai thác trên khoảng hai chục khách hàng.
Các sản phẩm bị ảnh hưởng bao gồm: Check Point Force Firewalls, Management and Log Servers, Multi-Domain Security Management và Multi-Domain Log Server, Maestro Orchestrator (phiên bản R82.20, R82.10, R82, R81.20, R81.10, và R81).
Kẻ tấn công sử dụng địa chỉ IP 130.94.19[.]204 để nhắm mục tiêu các cổng Mobile Access dễ bị tấn công. Sau khi có quyền truy cập ban đầu, chúng leo thang đặc quyền và triển khai PHP web shells để duy trì quyền truy cập. Web shells hỗ trợ thực thi lệnh và tải tệp lên.
TSGA, một backdoor độc lập, bao gồm thành phần TSProxy, được triển khai dưới dạng slot_CPconfigdaemon. TSGA là một implant Linux gateway dành riêng cho Check Point, cung cấp truy cập từ xa được mã hóa, đánh cắp cấu hình, duy trì sự tồn tại thông qua bản sao lưu và snapshot, tiêm quy trình và làm hỏng nhật ký tường lửa.
Kẻ tấn công còn sử dụng gogo scanner để tìm kiếm tài sản và dịch vụ nội bộ, di chuyển ngang sang máy chủ VMware ESXi qua SSH, triển khai wiper destroy_v6 để xóa tất cả tệp trong thư mục mục tiêu và chèn tệp "DREAM_ANNEXATION.txt".
TSGA và TSProxy được cho là thành phần của bộ công cụ PhiliKit, được ESET ghi nhận vào tháng 6/2026 và liên kết với nhóm gián điệp mạng Armory Castle (trước đây là UNC5221) có liên hệ với Trung Quốc. Tuy nhiên, Check Point chưa đủ bằng chứng để xác nhận điều này.
Câu hỏi thường gặp
Các lỗ hổng nào được khai thác trong vụ tấn công này?
Kẻ tấn công khai thác các lỗ hổng PHP2Shell (CVE-2026-109618, CVE-2026-109619) và lỗ hổng leo thang đặc quyền cục bộ (CVE-2026-123039) trên các thiết bị Check Point Gateway.
Phần mềm độc hại nào được sử dụng trong vụ tấn công?
Kẻ tấn công triển khai backdoor TSGA, thành phần TSProxy và phần mềm phá hủy dữ liệu destroy_v6. Phần mềm destroy_v6 xóa tất cả tệp trong thư mục mục tiêu.
Các sản phẩm Check Point nào bị ảnh hưởng?
Các sản phẩm bị ảnh hưởng bao gồm Check Point Force Firewalls, Management and Log Servers, Multi-Domain Security Management và Multi-Domain Log Server, Maestro Orchestrator phiên bản R82.20, R82.10, R82, R81.20, R81.10, và R81.
Góc nhìn của Orange Cloud
Theo chúng tôi, việc khai thác lỗ hổng này cho thấy tầm quan trọng của việc vá lỗi bảo mật kịp thời, đặc biệt là trên các thiết bị bảo mật như Check Point Gateway. Các doanh nghiệp Việt Nam sử dụng sản phẩm của Check Point nên kiểm tra và cập nhật lên phiên bản mới nhất ngay lập tức. Điều đáng chú ý là sự kết hợp giữa backdoor và wiper cho thấy mục đích tấn công có thể không chỉ là đánh cắp dữ liệu mà còn là phá hoại hệ thống.