Top-Secured Cyber-Monitoring: unabhängige Analyse auf Grundlage der unten genannten Quellen. Top-Secured ist mit den genannten Unternehmen nicht verbunden und wird Sie niemals nach Bankdaten oder Passwörtern fragen.
Laut Check Point haben Angreifer die PHP2Shell-Lücken im Mobile-Access-Portal ungepatchter Security Gateways ausgenutzt und sich über eine zweite Lücke Root-Rechte verschafft. Bei einigen Zielen installierten sie eine Hintertür und griffen anschließend VMware-ESXi-Hosts an, um Dateien zu zerstören.
Was passiert ist
Am 12. November 2026 veröffentlichte Check Point Research eine Analyse von Angriffen auf die eigenen Firewalls des Herstellers. Die Angreifer nutzten PHP2Shell (CVE-2026-109618 und CVE-2026-109619), zwei PHP-Lücken, die Check Point mit 9,2 von 10 bewertet und für seine Gateways in einem erstmals am 21. Oktober veröffentlichten Advisory behandelt. Die Aktivität begann etwa eine Woche nach Verfügbarkeit des Patches, betroffen waren also nur ungepatchte Gateways. Eine erste Welle am 30. Oktober richtete sich gegen israelische Organisationen, bei einigen mit Zerstörung; eine zweite am 2. November traf Organisationen in mehreren Ländern und Branchen, ohne beobachtete Zerstörung. Eine Opferzahl nennt Check Point nicht; das Advisory zur zweiten Lücke spricht von aktiver Ausnutzung bei rund zwei Dutzend Kunden.
Wie die Angreifer eindrangen
Einfallstor war das aus dem Internet erreichbare Mobile-Access-Portal. Danach nutzten die Angreifer CVE-2026-123039, eine lokale Lücke im Dienst DynamicCLI, um Root zu werden. Sie legten Webshells in den Portalvorlagen ab, eine neustartfeste Hintertür, eine Bibliothek als Netzwerk-Proxy und einen Scanner. Von einigen Gateways aus verbanden sie sich per SSH mit VMware-ESXi-Hosts und starteten dort einen Linux-Wiper. Check Point sieht Überschneidungen mit Werkzeugen einer China-nahen Gruppe, kann die tatsächliche Natur der Operation aber nicht sicher bestimmen.
Was jetzt zu tun ist
- Patchen: Jumbo Hotfix Accumulator Take 14 oder neuer auf R82.20, Take 52 auf R82.10, Take 132 auf R82, Take 174 auf R81.20, oder der eigenständige Hotfix aus sk1000302 (Neustart nötig). Spark: R82.00.11 Build 998002843 oder R81.10.17 Build 996005005 und neuer. Den installierten Take mit
cpinfo -y allprüfen. - Auf R81.10 und älter (ohne Support) ein Upgrade planen: Für CVE-2026-123039 ist kein Fix vorgesehen.
- Wer nicht sofort patchen kann, wendet die manuelle Abhilfe aus sk1000302 an und stoppt
dynamic_serverwie in sk1000362 beschrieben. - Nach Kompromittierung suchen, auch nach dem Patch:
/tmp/CPconfigdaemon,/lib/libcpfwcommon.so,zz*.tpl-Dateien in den Portalvorlagen, ein Dienst auf TCP 11072 (netstat -tlnp) und die von Check Point veröffentlichten IP-Adressen. - Bei Funden das Gateway neu aufsetzen, seine Geheimnisse und VPN-Zertifikate erneuern und die erreichbaren ESXi-Hosts prüfen.
Unsere Einschätzung
Eine Firewall ist auch ein Server, und ihre Webportale nutzen dieselben Bibliotheken wie jede Website. Eine Woche zwischen Patch und Angriff ist inzwischen normal: Perimetergeräte brauchen dieselbe Patch-Frist wie der am stärksten exponierte Webserver, und ihr Verwaltungszugang zu den Hypervisoren sollte gekappt werden.
Quellen
- Check Point Research — PHP2Shell Exploitation on Check Point Gateway
- Check Point — sk1000302: Check Point Response to CVE-2026-109618, CVE-2026-109619, CVE-2026-115560
- Check Point — sk1000362: CVE-2026-123039, local privilege escalation in DynamicCLI
- CERT-FR — CERTFR-2026-AVI-1501 : Multiples vulnérabilités dans les produits Check Point
Wie wir unsere Analysen auswählen, prüfen und schreiben →
Ist Ihr eigener Server angreifbar? Machen Sie einen kostenlosen Test — nur öffentliche Informationen, ohne Eindringen:
Sorgen, dass Ihre Server angreifbar sind? Unser Team prüft, patcht und überwacht Linux- und Cloud-Infrastrukturen rund um die Uhr.
Mit einem Experten sprechen Unsere Managed Server Services →
