Check Point: uzbrucēji ar PHP2Shell un Gaia OS ievainojamību uzlauž drošības vārtejas, daļā gadījumu iznīcina datus

Kiberdrošības uzņēmums Check Point brīdinājis, ka uzbrucēji izmanto divu ievainojamību ķēdi, lai pārņemtu tā drošības vārtejas ar operētājsistēmu Gaia, un atsevišķos gadījumos pēc tam iznīcina datus organizāciju iekšējos serveros. ASV Kiberdrošības un infrastruktūras drošības aģentūra (CISA) 13. novembrī iekļāva vienu no šīm kļūdām, CVE-2026-123039, savā aktīvi izmantoto ievainojamību katalogā.

Pēc Check Point datiem, sākotnējo piekļuvi uzbrucēji iegūst, izmantojot PHP2Shell – divas kritiskas PHP ievainojamības (CVE-2026-109618 un CVE-2026-109619), kas ļauj attālināti izpildīt kodu bez pieteikšanās. Uzbrukums notiek caur vārteju attālinātās piekļuves portālu Mobile Access. Pēc tam tiek izmantota līdz šim nezināma kļūda Gaia OS servisā DynamicCLI, kas ļauj lokālam lietotājam izpildīt komandas ar pilnām administratora (root) tiesībām. Šīs kļūdas smagums CVSS skalā novērtēts ar 7,8 punktiem no 10.

Uzbrukumi sākās 30. oktobrī, apmēram nedēļu pēc tam, kad drošības labojums jau bija pieejams, un sākotnēji bija vērsti pret Izraēlas organizācijām. Otrais vilnis 2. novembrī skāra organizācijas vairākās valstīs, tostarp dažas no jau iepriekš uzbrukumam pakļautajām. Pētnieki nav konstatējuši, ka uzbrucēji izvēlētos kādu konkrētu nozari. Check Point norāda, ka ievainojamība aktīvi izmantota pret dažiem desmitiem klientu.

Pēc ielaušanās uzbrucēji izvietoja tīmekļa čaulas, kas ļauj attālināti izpildīt komandas, kā arī pastāvīgu slēptas piekļuves programmu TSGA. Daļā pirmā viļņa gadījumu viņi no vārtejas pārvietojās uz VMware ESXi virtualizācijas serveriem un palaida datu dzēšanas ļaunatūru. Uz skartajiem serveriem tika atstāta piezīme ar politiska rakstura vēstījumu, taču bez izpirkuma maksas prasības, tāpēc uzbrukuma mērķis, visticamāk, bija nodarīt kaitējumu. Otrajā vilnī datu iznīcināšana netika novērota.

Daļa izmantoto rīku iepriekš saistīta ar ļaunatūru, ko pētnieki attiecinājuši uz Ķīnai piedēvētu hakeru grupu, kas uzbrukusi Ivanti iekārtām. Tomēr Check Point uzsver, ka pieejamie pierādījumi neļauj ar pārliecību noteikt, kas stāv aiz šīs kampaņas.

Check Point aicina klientus pēc iespējas ātrāk uzstādīt novembra kumulatīvo labojumu paketi (November Jumbo Hotfix) visos pārvaldības serveros un drošības vārtejās, prioritāti dodot tām, kurās Mobile Access portāls ir pieejams no interneta. Uzņēmums iesaka arī pārbaudīt no interneta pieejamās vārtejas, vai tajās nav uzlaušanas pazīmju, piemēram, aizdomīgu procesu vai neizskaidrojamu pārtraukumu ugunsmūra žurnālos.