رصد Top-Secured السيبراني: تحليل مستقل يستند إلى المصادر المذكورة أدناه. Top-Secured غير تابعة للشركات المذكورة ولن تطلب منك أبدًا بياناتك المصرفية أو كلمات مرورك.
تقول Check Point إن مهاجمين استغلوا ثغرتي PHP2Shell في بوابة Mobile Access على بوابات أمنية غير محدّثة، ثم ثغرة ثانية للحصول على صلاحيات root. وعلى بعض الأهداف زرعوا بابًا خلفيًا وانتقلوا إلى مضيفات VMware ESXi لتدمير الملفات.
ما الذي حدث
في 12 نوفمبر 2026 نشرت Check Point Research تحليلًا لهجمات استهدفت جدران الحماية التي تصنعها الشركة نفسها. استخدم المهاجمون PHP2Shell (CVE-2026-109618 وCVE-2026-109619)، وهما ثغرتان في PHP تمنحهما Check Point درجة 9.2 من 10 وعالجتهما لبواباتها في نشرة صدرت أول مرة في 21 أكتوبر. بدأ النشاط بعد نحو أسبوع من توفر التصحيح، فلم تتأثر إلا البوابات غير المحدّثة. استهدفت موجة أولى في 30 أكتوبر منظمات إسرائيلية، مع تدمير لدى بعضها؛ وطالت موجة ثانية في 2 نوفمبر منظمات في عدة دول وقطاعات، دون رصد تدمير. لا تذكر Check Point عدد الضحايا؛ لكن نشرتها الخاصة بالثغرة الثانية تشير إلى استغلال نشط لدى نحو عشرين عميلًا.
كيف دخل المهاجمون
كانت نقطة الدخول بوابة Mobile Access المكشوفة على الإنترنت. بعد ذلك استغل المهاجمون الثغرة CVE-2026-123039، وهي ثغرة محلية في خدمة DynamicCLI، للحصول على صلاحيات root. وزرعوا webshells في قوالب البوابة، وبابًا خلفيًا يصمد أمام إعادة التشغيل، ومكتبة تعمل وسيطًا شبكيًا، وأداة مسح. ومن بعض البوابات اتصلوا عبر SSH بمضيفات VMware ESXi وشغّلوا عليها أداة مسح لنظام Linux. وتلاحظ Check Point أوجه تشابه مع أدوات مرتبطة بمجموعة ذات صلة بالصين، لكنها تقول إنها لا تستطيع الجزم بالطبيعة الحقيقية للعملية.
ما الذي يجب فعله الآن
- طبّقوا التصحيح: Jumbo Hotfix Accumulator Take 14 أو أحدث على R82.20، وTake 52 على R82.10، وTake 132 على R82، وTake 174 على R81.20، أو التصحيح المستقل من sk1000302 (يتطلب إعادة تشغيل). Spark: الإصدار R82.00.11 build 998002843 أو R81.10.17 build 996005005 وما بعدهما. تحققوا من الـ Take المثبّت عبر
cpinfo -y all. - على R81.10 وما قبله (خارج الدعم) خططوا للترقية: لا يوجد تصحيح مقرر للثغرة CVE-2026-123039.
- إن تعذّر التصحيح فورًا، طبّقوا الإجراء اليدوي الوارد في sk1000302 وأوقفوا
dynamic_serverكما تشرح sk1000362. - ابحثوا عن آثار الاختراق حتى بعد التصحيح:
/tmp/CPconfigdaemonو/lib/libcpfwcommon.soوملفاتzz*.tplفي قوالب البوابة، وخدمة تستمع على المنفذ TCP 11072 (netstat -tlnp)، وعناوين IP التي نشرتها Check Point. - إن عثرتم على شيء، أعيدوا تثبيت البوابة، وجدّدوا أسرارها وشهادات VPN الخاصة بها، وافحصوا مضيفات ESXi التي يمكنها الوصول إليها.
رأينا
جدار الحماية خادم هو الآخر، وبواباته على الويب تستخدم المكتبات نفسها التي يستخدمها أي موقع. صار أسبوع واحد بين التصحيح والهجوم هو القاعدة: تحتاج أجهزة الحافة إلى مهلة التحديث نفسها التي يحتاجها أكثر خوادم الويب انكشافًا، ويجب قطع وصولها الإداري إلى برامج المحاكاة الافتراضية.
المصادر
- Check Point Research — PHP2Shell Exploitation on Check Point Gateway
- Check Point — sk1000302: Check Point Response to CVE-2026-109618, CVE-2026-109619, CVE-2026-115560
- Check Point — sk1000362: CVE-2026-123039, local privilege escalation in DynamicCLI
- CERT-FR — CERTFR-2026-AVI-1501 : Multiples vulnérabilités dans les produits Check Point
كيف نختار تحليلاتنا ونتحقق منها ونكتبها ←
هل خادمك مكشوف؟ أجرِ فحصًا مجانيًا — معلومات عامة فقط، دون اختراق:
هل تخشون أن تكون خوادمكم مكشوفة؟ يقوم فريقنا بتدقيق البنى التحتية Linux والسحابية وتحديثها ومراقبتها على مدار الساعة.
تحدّث إلى خبير خدماتنا لإدارة الخوادم ←
