Check Point: Angreifer kombinieren PHP2Shell mit Root-Lücke CVE-2026-123039

Check Point hat am 12. November 2026 eine Angriffskette gegen seine Security Gateways öffentlich gemacht: Angreifer nutzten die PHP-Lücken PHP2Shell (CVE-2026-109618 und CVE-2026-109619) im Mobile Access Portal für den Erstzugriff und verschafften sich danach über die neu veröffentlichte Lücke CVE-2026-123039 Root-Rechte im Gaia-Betriebssystem. Der Hersteller verteilt die Korrekturen mit dem „November Jumbo Hotfix“.

Betroffen sind vor allem Gateways mit aus dem Internet erreichbarem Mobile Access Portal, die den PHP2Shell-Hotfix vom 23. Oktober nicht eingespielt hatten. In einigen Fällen setzten die Angreifer laut Check Point zusätzlich einen Wiper auf einem VMware-ESXi-Host ein. Wer Mobile Access betreibt, sollte nicht auf das nächste Wartungsfenster warten, sondern den Hotfix jetzt einplanen und die Geräte auf Spuren prüfen.

Was ist passiert?

Laut Check Point Research begann die Aktivität am 30. Oktober 2026. Eine erste Welle richtete sich gegen israelische Organisationen und war teilweise zerstörerisch, eine zweite Welle ab dem 2. November richtete sich gegen Organisationen in mehreren Ländern, Zerstörung wurde dabei nicht beobachtet. Das Advisory nennt den 4. November als letzten Tag beobachteter Aktivität. Nach Herstellerangaben wurden „nur ein paar Dutzend“ ungepatchte Systeme in einer Region kompromittiert, betroffene Kunden habe man in Echtzeit informiert.

Der Ablauf laut Analyse: PHP-Webshells mit Namen nach dem Muster „zz*.tpl“ im Template-Verzeichnis des Portals, danach die Hintertür TSGA, die sich als „CPconfigdämon“ tarnt und eine Proxy-Bibliothek unter /lib/libcpfwcommon.so ablegt. TSGA bietet laut Check Point verschlüsselten Fernzugriff, Diebstahl der Konfiguration und Manipulation der Firewall-Logs. Vom Gateway aus erkundeten die Angreifer das interne Netz, meldeten sich per SSH mit dem Dienstkonto vpxuser an einem ESXi-Host an und starteten dort den Wiper destroy_v6, der eine Notiz „DREAM_ANNEXATION.txt“ ohne Lösegeldforderung hinterlässt.

Eine feste Zuordnung trifft Check Point nicht. TSGA und TSProxy sind laut Analyse Abwandlungen des Frameworks PhiliKit, das ESET der China zugeordneten Gruppe UNC5221 zuschreibt. Der Hersteller hält aber auch einen reinen Zugangsvermittler, eine False-Flag-Aktion oder Zerstörung als Ablenkung für möglich.

Wer ist betroffen?

CVE-2026-123039 betrifft laut CVE-Eintrag von Check Point Quantum Security Gateway und Quantum Security Management mit R82.20 bis Jumbo Hotfix Take 10, R82.10 bis Take 50, R82 bis Take 130 und R81.20 bis Take 173. PHP2Shell betrifft laut Advisory alle Gateway-Versionen von R80 bis R82.20 mit Mobile Access Portal sowie mehrere Spark-Firewall-Reihen. Gateways ohne erreichbares Mobile Access Portal boten in den beobachteten Fällen nicht den genutzten Einstieg, brauchen den Jumbo Hotfix wegen der lokalen Lücke aber trotzdem.

Wie kritisch ist das?

CVE-2026-123039 ist eine lokale Rechteausweitung mit CVSS 7.8: Der DynamicCLI-Dienst läuft als root und nimmt über den für alle beschreibbaren Socket /tmp/dynamic_socket Befehle ohne Prüfung des Aufrufers an. Allein ist die Lücke kein Fernzugriff. In Kombination mit PHP2Shell (CVSS 9.2, Codeausführung ohne Anmeldung) ergibt sich jedoch eine vollständige Übernahme des Gateways aus dem Internet. Check Point führt beide als „in the wild“ ausgenutzt. Die PHP2Shell-Lücken stehen laut BleepingComputer seit dem 26. Oktober im KEV-Katalog der CISA, für CVE-2026-123039 war zum Redaktionsschluss kein KEV-Eintrag belegt.

Was sollten Admins jetzt tun?

• Inventar: alle Gateways und Management-Server mit Version und Jumbo-Hotfix-Take erfassen, besonders solche mit aktivem Mobile Access Portal.
• Den November Jumbo Hotfix auf allen Management-Servern und Gateways installieren, internetseitige Mobile-Access-Installationen zuerst.
• Nach den Indikatoren aus dem Advisory suchen: Zugriffe von 130.94.19[.]204 und 130.94.19[.]168, PHP-Session-Dateien mit „upload_progress_pwn“, Prozesse oder Dateien nach dem Muster CPconfigdämon (auch slot_CPconfigdämon), Scanner- oder Wiper-Werkzeuge unter /tmp oder /temp, Notizdateien mit Bezug auf „Dream Annexation“.
• Firewall-Logs auf unerklärliche Lücken prüfen, vor allem nach Abstürzen des Log-Dienstes.
• SSH-Anmeldungen des Kontos vpxuser auf den ESXi-Hosts auswerten, insbesondere solche, die vom Gateway ausgehen.
• Bei Treffern das Gateway als kompromittiert behandeln, Zugangsdaten und Schlüssel aus der Konfiguration erneuern und den Check-Point-Support einbeziehen. Offline-Backups der ESXi-Umgebung bereithalten.

Einordnung für Unternehmen

Der Fall zeigt erneut, wie schnell Lücken in Fremdkomponenten auf Sicherheitsgeräten ankommen: Die PHP-Korrekturen erschienen laut BleepingComputer am 21. Oktober, der Check-Point-Hotfix am 23. Oktober, die Angriffe begannen eine Woche später. Für kleinere Unternehmen mit nur einem Gateway ist die wichtigste Frage, ob das Mobile Access Portal überhaupt aus dem Internet erreichbar sein muss. Wird es nicht gebraucht, gehört es abgeschaltet. Laut Hersteller schließt ein fehlender Treffer bei den Indikatoren eine Kompromittierung nicht aus.

Passende Anleitungen auf S-EDV

• PHP2Shell: Notfallupdates gegen aktiv ausgenutzte RCE-Lücken in PHP
• VMware ESX: Log-Umgehung CVE-2026-41709 als Zero-Day ausgenutzt
• Zero-Trust-Netzwerksegmentierung im KMU: VLANs, Firewall-Regeln und Mikrosegmentierung mit OPNsense und UniFi

Quellen

• Check Point: Security Advisory zu PHP2Shell und lokaler Rechteausweitung
• Check Point Research: Analyse der Angriffe auf Gateways
• CVE-Eintrag CVE-2026-123039
• BleepingComputer: Bericht zur Root-Lücke
• BleepingComputer: Bericht zum ESXi-Wiper
• SecurityWeek: Bericht zu den zerstörerischen Angriffen