Check Point se bloque dans les attaques PHP2Shell, sauvegarde ESXi déployée.
Les attaquants ont exploité les failles PHP2Shell dans les passerelles de sécurité vulnérables de Check Point à partir du 30 octobre, ciblant d'abord les organisations israéliennes avant de s'étendre à l'échelle mondiale le 2 novembre. Le réseau a utilisé le portail d'accès mobile pour la connexion, une escalade racine suivie comme CVE-2026-123039, puis des webshells PHP et la porte dérobée TSGA avant de passer aux hôtes VMware ESXi et de déployer l'effaceur de données destroy_v6.
La campagne introduit un chemin de périmètre vers l'hyperviseur, avec persistance au niveau de la passerelle suivie d'une action destructrice contre l'infrastructure de virtualisation. Les indicateurs signalés incluent les exécutables upload_progress_pwn, les processus CPconfigdaemon inattendus, les lacunes dans les journaux du pare-feu et les passerelles SSH non autorisées vers les hôtes ESXi internes.
Sources ouvertes – récits fermés.