要点
- Check Point のゲートウェイで、機器の最高権限（root）を奪える欠陥 CVE-2026-123039 が、実際の攻撃に使われた。
- 先に扱った PHP2Shell で入り込み、この欠陥で root を取り、裏口を仕込む、という流れの攻撃が確認された。
- 一部の被害では、機器から仮想化基盤の VMware ESXi に移られ、データ消去型のマルウェアが実行された。
何が起きたか
Check Point は 2026年11月12日、自社ゲートウェイへの攻撃の調査報告を公開した。報告によると、攻撃は10月下旬、ある修正が出た約1週間後に始まった。10月30日にイスラエルの組織を狙う第1波があり、一部で破壊的な被害が出た。11月2日には複数の国と業界に広がる第2波があり、こちらは破壊は確認されていない。
流れは三段階だ。
- 入り口: Mobile Access（社外から社内に入るための窓口）のポータルを、PHP2Shell で突破する。
- 権限の奪取: CVE-2026-123039 で root を得る。これは、機器の中で最高権限で動く管理用の仕組みが、接続してくる相手を確かめない欠陥とされる。
- 居座り: Web の裏口（webshell）と、独立した裏口 TSGA を置く。TSGA は、機器の通信に割り込む部品 TSProxy を含む。
さらに一部では、ESXi に SSH で移り、destroy_v6 というデータ消去ツールが動いた。置かれたメモは政治的な内容で、身代金の交渉を拒んでいる。
PHP2Shell との切り分け
PHP2Shell は「入り口」の欠陥で、CVE-2026-123039 は「入ったあとに root を取る」欠陥だ。別の欠陥だが、この攻撃では続けて使われた。CVE-2026-123039 には、Check Point が専用の緊急修正（hotfix）を出している。
誰の仕業か
Check Point は、裏口が PhiliKit という系統に近く、ESET がこれを中国と関係するとされる集団 UNC5221 に結びつけている、と書く。一方で、破壊目的やイスラエル狙いは、その集団の動機と合わないとも述べ、確かな帰属は示していない。
悪用の規模について、BleepingComputer は、Check Point が「数十」の顧客での悪用を確認した、と報じている。
日本の利用者への影響
日本での被害の有無は、確認できていない。調査報告が示す被害国の内訳も読み取れなかった。Mobile Access を使っている組織は、特に確認が必要だ。
今すぐやること
- 自社の Check Point 機器（Security Gateway、Management Server など）の有無と、Mobile Access を外に公開しているかを確認する。
- Check Point が出した緊急修正（hotfix）を、同社の security advisory で確かめて当てる。PHP2Shell の修正も未適用なら、あわせて当てる。
- すぐ当てられないとき、BleepingComputer によれば Check Point は、問題の管理用プロセスを止めて再起動させない一時策を示している。中身は advisory で確かめる。
- 修正のあとも、侵入の跡を調べる。調査報告によると、裏口は起動時に残る場所へ自分を移す。
- 跡が見つかったら、機器を信用しない。ESXi など、機器から届く内部の管理用アカウントの鍵も替え、外部の専門家に相談する。
背景
Check Point のゲートウェイは、これまでも悪用された。BleepingComputer によると、9月にも2件のゼロデイが悪用され、過去2年で CISA（米国の政府機関）の悪用済み欠陥の一覧に5件が載った。うち2件はランサムウェア集団も使った。外に向けて開いた境界機器は、入られると内部への足場になるため、狙われ続けている。
技術者向けの詳細
- 欠陥: CVE-2026-123039。Gaia OS の DynamicCLI IPC。root で動く dynamic_server が、書き込み可能なローカルソケットで認証せずに命令を受ける（BleepingComputer の説明）。
- 影響する製品: Firewall、Security Gateway、Security Management Server、Multi-Domain Security Management Server、Scalable Platforms。影響版の番号は、Check Point の advisory で確認すること（こちらでは未確認）。
- PHP2Shell の CVE: 調査報告は CVE-2026-109618 と CVE-2026-109619 に関連づける。
- 調査報告にある跡（要確認）:
- Mobile Access のテンプレート置き場の
zz*.tplと、challenge_render.tplの複製 - セッションの
upload_progress_pwn、Apache/PHP ワーカーの異常終了 slot_CPconfigdaemon、/lib/libcpfwcommon.so/tmp/.up.tpl、/tmp/.bd.log、/tmp/.p_sock、TCP 11072- 攻撃側のインフラとして挙がっている IP: 130.94.19[.]204（イスラエルの組織を狙った活動の発信元とされる）、130.94.19[.]168（IOC 一覧に掲載）
- ESXi 側:
vpxuserによる SSH、DREAM_ANNEXATION.txt
- Mobile Access のテンプレート置き場の
- 悪用の兆候（BleepingComputer による Check Point の説明）:
system()の利用、既定の Clish を通らないコマンド実行。 - ハッシュ（SHA-256）は調査報告の IOC 表を参照。
- 一次情報: 調査報告（下の出典）。Check Point の security advisory は、同社サポートサイトで確認する。
