要点
- Check Point のゲートウェイ（社内ネットワークの出入口の機器）で、Mobile Access ポータル経由で PHP2Shell の欠陥が悪用されて入り込まれ、さらに CVE-2026-123039 で root（機器の最高権限）まで奪われた例がある。
- 侵入後に社内の VMware ESXi（仮想サーバーを動かす基盤）へ移り、ファイルを消すプログラムが実行された。
- 確認されている破壊は、最初の波でイスラエルの組織が狙われた一部の事例だ。ただし、同じ入口は他の国々にも使われた。
何が起きたか
Check Point の研究チームが報告した。攻撃は2026年10月30日に始まった。Check Point は、あるセキュリティ修正が公開されてから約1週間後の活動だとしている。
入口は、ゲートウェイの Mobile Access（社外から社内に接続するための窓口）のポータルだ。ここを通じて、PHP2Shell の欠陥（CVE-2026-109618 と CVE-2026-109619）が使われた。Check Point の報告では、これで攻撃者はポータルのサービスアカウントの権限を得た。
次に、CVE-2026-123039 が使われた。DynamicCLI という内部の仕組みにある欠陥で、ポータルのサービスアカウントから root に上がれる。Check Point は、これが「数十の顧客」に対して実際に悪用されているとしている（The Hacker News の報道による）。
root を得た攻撃者は、遠隔操作用の裏口（TSGA と TSProxy）を置いた。さらに社内の探索ツールを使い、SSH（遠隔ログインの仕組み）で ESXi へ入った。そこで destroy_v6 というプログラムが実行された。これは拡張子を問わずファイルを消し、既定では中身をゼロで上書きする。「DREAM_ANNEXATION.txt」というメモも残される。
11月2日からは2つ目の波が来た。複数の国と業種が狙われたが、破壊は確認されていない。
誰の仕業かは分からない。Check Point は、中国系の道具や活動時間に似た点がある一方、破壊という性質は既知の中国系の活動と合わないとし、高い確度では判断できないとしている。
日本の利用者への影響
日本の組織への影響について、今回の資料から分かることはない。2つ目の波は複数の国に及んだとされるが、国名の内訳は確認できていない。該当版の Check Point ゲートウェイを使う組織は、国を問わず対象になりうる。
今すぐやること
- 自社の Check Point ゲートウェイの版を確認する。Mobile Access を使っているなら最優先で見る。
- PHP2Shell の修正と、CVE-2026-123039 の対策を、Check Point の公式の案内で確かめて適用する。
- 10月30日以降の侵入の跡がないか、技術者に調べてもらう。調べ終わるまでは、Mobile Access を外部に出す範囲を絞ることも検討する。
- ESXi への SSH ログインの記録を見直す。使っていない SSH は止め、ゲートウェイから ESXi に入れない通信の制限をかける。
- ESXi 上の仮想マシンのバックアップが、ESXi とは別の場所にあるか確かめる。消去はファイルを広く狙うため、同じ基盤につながったままの保管先は危ない。復元の試験もしておく。
背景
PHP2Shell は、遠隔からコードを実行できる2件の重大な欠陥で、PHP 5 以降の全バージョンに影響するとされる。Palo Alto Networks の機器への攻撃でも悪用されたと、SecurityWeek は伝えている。
境界機器は、社内ネットワークの最前線にある。ここを奪われると、その先の仮想サーバーまで届く。今回は、そこから ESXi でのファイル消去まで進んだ。
技術者向けの詳細
版について。The Hacker News は、R82.20、R82.10、R82、R81.20、R81.10、R81 を挙げている。Check Point の調査報告には版の一覧も修正版の番号もなかった。必ず Check Point の公式の案内で確かめること。
ゲートウェイ側の跡（Check Point の報告より）:
/opt/CPcvpn-R81.20/tmp/のセッションファイルにupload_progress_pwn- 10月30日の Apache/PHP ワーカーの大量のクラッシュ
- ポータルのテンプレート置き場の
zz*.tpl、/tmp/.up.tpl、challenge_render.tpl /tmp/CPconfigdaemon、/tmp/.bd.log、slot_CPconfigdaemon（起動時の永続化用の場所）/lib/libcpfwcommon.so、/tmp/.p_sock、TCP 11072 の待ち受け
ESXi 側の跡:
vpxuserによる SSH ログイン/tmp/des wiper- 処理された各ディレクトリの
DREAM_ANNEXATION.txt
通信元 IP: 130.94.19[.]204、130.94.19[.]168
ハッシュ値の全一覧は、Check Point の報告を参照すること。
