Check Point: Yamasız Security Gateway'ler PHP2Shell ile ele geçirildi; Mobile Access portalından girildi, bazı kurumlarda wiper çalıştırıldı (CVE-2026-123039)
Check Point Research, 30 Ekim'den itibaren yamasız Security Gateway'lerin Mobile Access portalı üzerinden PHP2Shell ile ele geçirildiğini, ardından CVE-2026-123039 ile root yetkisi alındığını açıkladı. İlk dalgada bazı kurumlarda ESXi sunucularına wiper yerleştirildi; 2 Kasım'daki ikinci dalga birçok ülkeyi hedef aldı.
CVE-2026-109618, CVE-2026-109619, CVE-2026-123039
Check Point Research 12 Kasım'da yayımladığı raporda, yamasız Check Point Security Gateway'lerin 30 Ekim 2026'dan itibaren tarandığını ve ele geçirildiğini doğruladı. Saldırganlar ilk erişim için Mobile Access portalındaki PHP2Shell açıklarını (CVE-2026-109618 ve CVE-2026-109619) kullandı, ardından DynamicCLI arayüzündeki yerel yetki yükseltme açığı CVE-2026-123039 ile portal servis hesabından root'a çıktı. Rapora göre faaliyet, düzeltmenin yayımlanmasından yaklaşık bir hafta sonra başladı.
Saldırı iki dalga halinde ilerledi. 30 Ekim'deki ilk dalga İsrail'deki kurumları hedef aldı ve bir kısmında yıkıcı faaliyet görüldü: saldırganlar gateway'den bir VMware ESXi sunucusuna geçip wiper çalıştırdı. 2 Kasım'daki ikinci dalga birçok ülkedeki kurumu hedefledi; bu dalgada yıkıcı faaliyet gözlenmedi. Check Point, iki dalgada da belirgin bir sektör tercihi olmadığını, bunun fırsatçı ilk erişim denemelerine işaret ettiğini belirtiyor. PHP2Shell daha önce PAN-OS tarafında da gündeme gelmişti.
Etkilenen ve düzeltilmiş sürümler
| Ürün | Etkilenen | Düzeltilmiş sürüm |
|---|---|---|
| Check Point Security Gateway (Mobile Access portalı açık) | Üretici bildirimindeki liste | Üretici bildirimindeki liste |
| DynamicCLI (CVE-2026-123039) | Üretici bildirimindeki liste | Üretici bildirimindeki liste (sk1000362) |
Check Point Research raporu sürüm listesi vermiyor; yalnızca hedeflerin "yamasız" gateway'ler olduğunu söylüyor. Düzeltme içeren Jumbo Hotfix take'leri için sk1000362 ve PHP2Shell için Check Point'in güvenlik bildirimi esas alınmalı.
Beni etkiliyor mu?
Risk altındaki profil: Mobile Access blade'i açık, portalı internete bakan ve PHP2Shell düzeltmesini almamış gateway'ler. Önce sürüm ve kurulu hotfix'leri görün (expert mode):
fw ver
cpinfo -y allArdından Check Point'in raporunda geçen izlere bakın:
- Mobile Access portalının login şablonlarının bulunduğu dizinde
zzile başlayan.tpldosyaları ve sonradan eklenmişchallenge_render.tpl. /tmpaltında.up.tpl,.bd.logveCPconfigdaemonadlı dosyalar.- Açılışta çalışan bileşenler arasında
slot_CPconfigdaemonadlı bir süreç. /lib/libcpfwcommon.soadlı paylaşımlı kütüphane (TSProxy bileşeni).- Gateway'de TCP 11072 portunu dinleyen bir süreç.
- 30 Ekim ve sonrasında portalın Apache/PHP worker'larında yüzlerce segmentation fault kaydı.
- Gateway'den ESXi sunucularına
vpxuserhesabıyla SSH oturumu.
ls -la /tmp/.up.tpl /tmp/.bd.log /tmp/CPconfigdaemon /lib/libcpfwcommon.soRapora göre TSGA implant'ı firewall loglarını da kurcalayabiliyor; gateway üzerindeki log temiz görünse bile SIEM'e ya da log sunucusuna giden kopyayla karşılaştırma yapın. IOC listesinin tamamı Check Point Research raporunda.
Ne yapılmalı?
- Mobile Access portalı internete açık olan gateway'leri bugün listeleyin; PHP2Shell ve CVE-2026-123039 düzeltmelerini içeren hotfix take'ine upgrade edin.
- Patch hemen uygulanamıyorsa portalı internetten erişilemez hale getirmeyi ya da erişimi bilinen kaynak adreslerle sınırlamayı değerlendirin; bu geçici önlemdir, patch'in yerini tutmaz.
- Yukarıdaki izlerden biri bulunursa cihazı ele geçirilmiş kabul edin: yalnızca patch yeterli değildir. Rapora göre implant backup ve snapshot üzerinden kalıcılık sağlayabiliyor; temiz kurulum ve Check Point desteğiyle (TAC) ilerleyin.
- Ele geçirilmiş bir gateway'de saklanan ya da üzerinden geçen kimlik bilgilerini (yönetici hesapları, VPN sertifikaları, gateway'in eriştiği servis hesapları) yenileyin. Saldırganlar gateway'den ESXi'ye servis hesabıyla geçti.
- Gateway'lerden hypervisor yönetim arayüzlerine SSH erişimini kısıtlayın; ESXi yedeklerinin ağdan ayrı (offline) kopyasının bulunduğunu doğrulayın.
- Değişikliği acil change olarak kaydedin; cluster üyelerini sırayla upgrade edin.
Kim yaptı?
Check Point, TSGA ve TSProxy'nin daha önce Ivanti cihazlarına yönelik saldırılarda belgelenen PhiliKit çatısının değiştirilmiş türevleri olduğunu söylüyor. PhiliKit daha önce Çin bağlantılı UNC5221 ile ilişkilendirilmişti; ancak wiper kullanımı bu profile uymuyor. Şirket, operasyonun gerçek niteliğini yüksek güvenle değerlendiremediğini belirtiyor: aynı aktör tüm kampanyayı yürütmüş, yalnızca initial access broker olarak çalışmış ya da bir false-flag operasyonunun parçası olmuş olabilir; yıkıcı faaliyet bir perde de olabilir.
Türkiye bağlamı
Siber Güvenlik Başkanlığı, PHP2Shell için 21 Ekim'de ulusal uyarı yayımlamıştı. Check Point raporu ikinci dalgada hedef alınan ülkeleri saymıyor; Türkiye'den bir kurumun etkilendiğine dair kaynaklı bir bilgi yok.
