Check Point CVE-2026-123039 : PHP2Shell et wiper ESXi

En bref. Depuis le 30 octobre 2026, un attaquant compromet des passerelles Check Point Security Gateway non corrigées en exploitant les failles PHP du portail Mobile Access, dites PHP2Shell, puis une faille d'élévation de privilèges jusqu'alors inconnue, CVE-2026-123039, pour obtenir les droits root. Dans certains cas, il a rebondi vers des hôtes VMware ESXi et y a lancé un programme d'effacement de données. Check Point recommande d'installer le Jumbo Hotfix de novembre sur toutes les passerelles et serveurs d'administration, en commençant par ceux dont le portail Mobile Access est exposé à Internet. Il faut ensuite rechercher des traces de compromission sur les équipements déjà exposés.

Ce qui s'est passé

Check Point Research a publié le 12 novembre 2026 son analyse de la campagne. Les faits principaux :

30 octobre 2026 : première vague, visant des organisations israéliennes, avec des destructions de données chez certaines d'entre elles. Selon Check Point, l'activité a commencé environ une semaine après la disponibilité d'un correctif de sécurité (PHP avait corrigé PHP2Shell le 21 octobre, voir plus bas).
2 novembre 2026 : seconde vague, plus large, visant des organisations de plusieurs pays et secteurs, sans trace de destruction observée. Selon BleepingComputer, les suites données par l'attaquant restent floues.
Aucune des deux vagues ne montre de préférence sectorielle nette, ce qui suggère des tentatives d'accès opportunistes.

Check Point a publié des correctifs d'urgence pour CVE-2026-123039. Selon BleepingComputer, l'avis de sécurité de l'éditeur indique une exploitation active contre environ deux douzaines de clients (a couple of dozen customers). Les produits concernés listés sont Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway et Security Management Server.

Pour mémoire, PHP2Shell désigne deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent une exécution de code à distance sans authentification. Selon BleepingComputer, PHP les a corrigées le 21 octobre, des tentatives d'exploitation avaient commencé quatre jours plus tôt selon Amazon Threat Intelligence, et la CISA (agence américaine de cybersécurité) les a ajoutées le 26 octobre à son catalogue des vulnérabilités exploitées (KEV, Known Exploited Vulnerabilities).

Comment fonctionne l'attaque

Le principe, tel que décrit par Check Point, sans procédure d'exploitation :

Entrée par le portail Mobile Access. L'attaquant exploite PHP2Shell sur le portail web de la passerelle. Les traces : des fichiers de session PHP contenant le marqueur upload_progress_pwn et des centaines de plantages (segmentation faults) des processus Apache/PHP du portail.
Passage à root via CVE-2026-123039. Le démon DynamicCLI de Gaia OS, le système des passerelles, tourne en root et écoute sur une socket locale accessible en écriture par tous (/tmp/dynamic_socket), sans authentifier les processus qui s'y connectent. Un utilisateur local authentifié peut y envoyer une commande qui s'exécute en root.
Installation durable. Webshells PHP placés dans les modèles des pages de connexion du portail, puis une porte dérobée autonome, TSGA, qui embarque un composant réseau, TSProxy. Le code d'injection de TSGA charge TSProxy dans des processus de la passerelle, où il traite des connexions marquées de l'attaquant au milieu du trafic normal. TSGA offre aussi, selon Check Point, le vol de configuration, la persistance dans les sauvegardes et instantanés, et l'altération des journaux du pare-feu.
Rebond et destruction. Depuis la passerelle, l'attaquant cartographie le réseau interne avec l'outil gogo, puis se connecte en SSH à un hôte VMware ESXi avec le compte de service vpxuser. Il y lance destroy_v6, un programme qui supprime récursivement les fichiers, après les avoir écrasés par des zéros sauf en mode rapide, et dépose une note politique, DREAM_ANNEXATION.txt, qui refuse toute négociation de rançon.

Attribution : prudence

TSGA et TSProxy partagent du code, de la configuration et du matériel cryptographique avec PhiliKit, une boîte à outils déjà vue contre des équipements Ivanti, qu'ESET associe au groupe UNC5221 lié à la Chine. Check Point souligne toutefois que la destruction de données, le ciblage d'Israël et le contenu de la note ne semblent pas correspondre pleinement aux motivations connues des groupes liés à la Chine, en particulier d'UNC5221. Plusieurs hypothèses restent ouvertes : l'acteur identifié a mené toute la campagne, il a servi de courtier en accès initial, une opération sous faux drapeau, ou une destruction servant d'écran de fumée. L'éditeur ne tranche pas avec un niveau de confiance élevé, et cet article non plus.

Qui est concerné

Toute organisation qui exploite une passerelle Check Point avec le portail Mobile Access exposé à Internet et sans le Jumbo Hotfix de novembre. C'est la priorité.
Les organisations qui utilisent les autres produits listés pour CVE-2026-123039 : la faille est locale, mais elle transforme un accès limité en contrôle complet.
Les organisations dont la passerelle peut joindre en SSH des hôtes de virtualisation : c'est le chemin qui a mené à la destruction de données.

Se protéger : contrôles concrets

Corriger

Installer le Jumbo Hotfix de novembre sur tous les serveurs d'administration et toutes les passerelles, en commençant par ceux dont le portail Mobile Access est exposé. Selon BleepingComputer, cette mise à jour corrige à la fois PHP2Shell et la faille DynamicCLI.
Si le correctif de CVE-2026-123039 ne peut pas être installé tout de suite, Check Point indique, selon BleepingComputer, comme mesure temporaire d'arrêter le processus dynamic_server et d'empêcher son redémarrage.

Chercher des traces sur les passerelles déjà exposées

Les indicateurs cités par Check Point et BleepingComputer :

fichiers de session contenant upload_progress_pwn ;
processus ou binaires CPconfigdaemon inattendus, dont slot_CPconfigdaemon ;
fichier /lib/libcpfwcommon.so ;
fichiers .tpl dont le nom commence par zz dans les modèles du portail ;
trous inexpliqués dans les journaux du pare-feu ;
connexions SSH non autorisées depuis la passerelle vers des hôtes ESXi internes, signe clair de compromission selon BleepingComputer.

Check Point ajoute trois signaux pour CVE-2026-123039 : les commandes typiques des tentatives d'exploitation, l'usage de la fonction system() (rare ou absente dans le trafic légitime) et les commandes qui ne passent pas par l'enveloppe Clish par défaut, ce qui indique une exécution en root via la socket.

L'article de Check Point Research publie aussi les empreintes SHA-256 des fichiers et deux adresses IP d'infrastructure ; reprenez-les directement depuis la source dans vos outils de détection.

Si vous trouvez une trace

À titre de bonne pratique de réponse à incident :

ne pas se contenter de supprimer les fichiers : TSGA vise la persistance dans les sauvegardes et instantanés, une passerelle compromise doit être réinstallée depuis une image saine ;
changer les secrets qui ont pu être lus sur la passerelle : comptes d'administration, clés, comptes de service comme vpxuser sur la virtualisation ;
vérifier les hôtes ESXi joignables depuis la passerelle et l'état des sauvegardes hors ligne.

Réduire l'exposition à l'avenir

Ces mesures sont des bonnes pratiques, pas des consignes de l'éditeur :

désactiver le portail Mobile Access s'il n'est pas utilisé, ou le restreindre à des plages d'adresses connues ;
cloisonner : une passerelle de sécurité n'a pas à ouvrir de session SSH vers l'hyperviseur. Une règle de filtrage interne qui l'interdit aurait pu couper le rebond décrit ici ;
exporter les journaux du pare-feu vers un système externe : un attaquant capable d'altérer les journaux locaux ne peut pas modifier les copies déjà exportées.

Le point de vue NIS 2

Pour les entités concernées par NIS 2, le référentiel de mesures publié par l'ANSSI sur MonEspaceNIS2 prévoit (mesure 5.B.4), au regard de la nature de la vulnérabilité, de lancer « sans délai » les actions d'installation des correctifs et de les appliquer « sans retard injustifié » sur les ressources exposées à des systèmes d'information tiers. Le référentiel cite précisément en exemple « un pare-feu exposé sur Internet ». Une passerelle Check Point avec portail public entre dans ce cas.

FAQ

Qu'est-ce que CVE-2026-123039 ?

Une faille d'élévation de privilèges locale dans l'interface DynamicCLI de Gaia OS, le système des équipements Check Point. Le démon tourne en root et accepte des commandes sur une socket locale sans authentifier les processus qui s'y connectent. Check Point la signale exploitée activement.

Qu'est-ce que PHP2Shell ?

Le nom donné à deux failles critiques de PHP, CVE-2026-109618 et CVE-2026-109619, qui permettent une exécution de code à distance sans authentification. Elles ont servi d'accès initial via le portail Mobile Access.

Quel correctif installer ?

Le Jumbo Hotfix de novembre de Check Point, qui couvre PHP2Shell et CVE-2026-123039, en priorité sur les passerelles dont le portail Mobile Access est exposé.

Qui est derrière l'attaque ?

Check Point ne l'établit pas avec un niveau de confiance élevé. Les outils dérivent d'une boîte à outils qu'ESET associe à un groupe lié à la Chine, mais la destruction de données et la note politique ne semblent pas correspondre pleinement à ses motivations connues.

Sources

Check Point Research, PHP2Shell Exploitation on Check Point Gateway, 12 novembre 2026 : https://research.checkpoint.com/2026/php2shell-exploitation-on-check-point-gateway
BleepingComputer, Check Point warns of zero-day flaw exploited for root access, 13 novembre 2026 : https://www.bleepingcomputer.com/news/security/check-point-patches-zero-day-that-lets-hackers-get-root-access
BleepingComputer, Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper, 13 novembre 2026 : https://www.bleepingcomputer.com/news/security/check-point-gateways-hacked-via-php2shell-to-deploy-vmware-esxi-wiper
ANSSI, référentiel de mesures NIS 2 sur MonEspaceNIS2 : https://monespacenis2.cyber.gouv.fr/

Pour intégrer la veille et la correction des équipements exposés dans votre démarche NIS 2, WeeSec accompagne les entités concernées sur NIS 2.

Un sujet connexe chez vous ?

20 minutes pour cadrer ensemble. Aucune offre commerciale envoyée à froid.

Réserver un échange Calendly