„PHP2Shell lieferte den Erstzugriff, danach folgte die Rechteausweitung über die DynamicCLI-Schnittstelle, erfasst als CVE-2026-123039“, erklärte Check Point. „Anschließend setzten die Angreifer PHP-Web-Shells, die persistente Backdoor TSGA und deren eingebettete Netzwerkkomponente TSProxy ein.“ Weiter hieß es: „Die Angreifer wechselten per SSH vom Gateway auf einen VMware-ESXi-Host, setzten den Wiper destroy_v6 ein und hinterließen in der Zerstörungsphase politisch gefärbte Notizen namens DREAM_ANNEXATION.txt.“

Bei CVE-2026-123039 (CVSS 7.8) handelt es sich um eine fehlende Autorisierungsprüfung im Prozess DynamicCLI. Jeder authentifizierte lokale Nutzer kann damit beliebige Befehle mit Root-Rechten ausführen, indem er eine einzige Anfrage an den Socket schreibt. „Es handelt sich um eine lokale Rechteausweitung, für die der Angreifer bereits lokale Codeausführung auf dem Gerät haben muss“, so Check Point. Der Hersteller habe die aktive Ausnutzung der Lücke bei einigen Dutzend Kunden beobachtet. Betroffen sind die Versionen R82.20, R82.10, R82, R81.20, R81.10 und R81 folgender Produkte:

  • Check Point Force Firewalls
  • Check Point Management and Log Servers
  • Multi-Domain Security Management und Multi-Domain Log Server
  • Maestro Orchestrator

„Ende Oktober 2026, etwa eine Woche nachdem ein Sicherheitsupdate verfügbar war, griff Aktivität von der Adresse 130.94.19[.]204 israelische Organisationen über verwundbare Mobile-Access-Portale auf Check Point Security Gateways an“, schreibt Check Point. Hinweise deuteten auf einige erfolgreiche Kompromittierungen hin; die Aktivität passe zu PHP2Shell, das mit CVE-2026-109618 und CVE-2026-109619 in Verbindung steht. Nach dem Erstzugriff eskalierten die Angreifer ihre Rechte vom Dienstkonto des Portals auf Root und platzierten PHP-Web-Shells, die Befehlsausführung und Datei-Uploads erlauben.

Die Welle vom 2. November traf erneut einige bereits angegriffene israelische Organisationen sowie weitere Ziele weltweit, ohne erkennbare geografische oder branchenspezifische Präferenz – ein Hinweis auf opportunistische Bemühungen um Erstzugriff.

Über die Web-Shells gelangt TSGA auf die Systeme, eine eigenständige passive Backdoor mit der Zusatzkomponente TSProxy. TSGA wird als slot_CPconfigdaemon abgelegt und ist ein Linux-Implantat für Gateways mit Check-Point-spezifischen Funktionen: verschlüsselter Fernzugriff, Diebstahl von Konfigurationen, Persistenz über Backups und Snapshots, Prozessinjektion sowie Manipulation binärer Firewall-Logs. TSProxy lädt laut Check Point eine Bibliothek in ausgewählte Prozesse des Geräts, fängt dort Netzwerkfunktionen ab und behandelt speziell markierte Verbindungen der Angreifer, während gewöhnlicher Datenverkehr weiterläuft. So verbinde sich eine persistente Backdoor mit verdecktem Zugang über vorhandene Dienste.

Weitere beobachtete Aktionen nach der Kompromittierung:

  • Einsatz des Scanners gogo auf dem Gateway, um interne Systeme und Dienste im Netz zu erkunden
  • Seitliche Bewegung per SSH auf einen VMware-ESXi-Host mit dem Dienstkonto vpxuser
  • Ablage und Ausführung des Linux-ELF-Wipers destroy_v6, der Zielverzeichnisse rekursiv durchläuft, Dateien unabhängig von der Endung zu überschreiben versucht und anschließend löscht
  • Hinterlegen der Notiz „DREAM_ANNEXATION.txt“ in jedem bearbeiteten Verzeichnis

TSGA und TSProxy gelten als Check-Point-spezifische Bestandteile des Toolkits PhiliKit, das ESET im Juni 2026 erstmals beschrieb und der China zugeordneten Spionagegruppe Armory Castle (früher UNC5221) zuschrieb. Auch die Nutzung von VPS-Infrastruktur von LightNode und Scan-Aktivität, die sich zwischen 12 und 9 Uhr UTC ballte – passend zu typischen chinesischen Arbeitszeiten –, deuten auf einen China-nahen Akteur.

Check Point sieht dennoch nicht genug Belege, um die Kampagne dieser oder einer anderen bekannten chinesischen Gruppe zuzuordnen. Dagegen sprechen der Einsatz eines Wipers sowie der Fokus auf Israel samt ausdrücklicher Bezüge zum israelisch-palästinensischen Konflikt in der Wiper-Notiz. „Insgesamt erlauben die Belege keine Einschätzung mit hoher Sicherheit über die wahre Natur dieser Operation“, so das Unternehmen. Denkbar sei, dass der identifizierte Akteur die gesamte Kampagne durchführte, nur als Vermittler von Erstzugängen agierte oder an einer Operation unter falscher Flagge beteiligt war. Möglich sei auch, dass die Zerstörung als Ablenkung diente.