PHP2Shell Güvenlik Açıkları Üzerinden Check Point Ağ Geçitlerine TSGA Arka Kapısı Yerleştirildi ve ESXi Dosyaları Silindi

PHP2Shell Güvenlik Açıkları Üzerinden Check Point Ağ Geçitlerine TSGA Arka Kapısı Yerleştirildi ve ESXi Dosyaları Silindi

Bilinmeyen bir tehdit aktörünün, yama uygulanmamış Check Point Güvenlik Ağ Geçitlerini hedef alarak PHP2Shell güvenlik açıkları ve Gaia OS’deki daha önce bildirilmemiş yerel ayrıcalık yükseltme zafiyeti aracılığıyla ilk erişimi sağladığı ve ardından TSGA adında bir arka kapı dağıttığı gözlemlendi.

Check Point tarafından detaylandırılan bu faaliyet, 30 Ekim 2026’da başladı ve İsrailli kuruluşları hedef aldı. 2 Kasım 2026’da ise birden fazla ülke ve sektörü hedef alan daha geniş bir takip dalgası yaşandı. İlk dalgada hedeflenen bazı kuruluşlar, yıkıcı eylemlerle de karşılaştı; bu eylemler arasında silici kötü amaçlı yazılım dağıtımı da bulunuyordu.

Check Point, “PHP2Shell ilk erişimi sağladı, ardından CVE-2026-123039 olarak izlenen DynamicCLI arayüzü aracılığıyla ayrıcalık yükseltmesi yapıldı” dedi. “Saldırganlar daha sonra PHP web kabukları, kalıcı TSGA arka kapısı ve gömülü TSProxy ağ bileşenini dağıttı.”

“Saldırganlar, ağ geçidinden SSH üzerinden bir VMware ESXi ana bilgisayarına geçiş yaptı, destroy_v6 silicisini dağıttı ve yıkıcı aşamada politik temalı DREAM_ANNEXATION.txt notları bıraktı.”

CVE-2026-123039 (CVSS puanı: 7.8), DynamicCLI sürecinde kök ayrıcalık yükseltmesine olanak tanıyabilecek bir yetkilendirme eksikliği zafiyetidir. Bu, herhangi bir kimliği doğrulanmış yerel kullanıcının sokete tek bir istek yazarak rastgele komutlar çalıştırmasına izin verebilir.

Check Point, “Bu sorun yerel bir ayrıcalık yükseltmesidir ve saldırganın cihazda zaten yerel kod yürütme yeteneğine sahip olmasını gerektirir” dedi ve “bu güvenlik açığının birkaç düzine müşteriye karşı aktif olarak kullanıldığını gözlemlediklerini” ekledi.

Bu sorun, aşağıdaki ürünlerin R82.20, R82.10, R82, R81.20, R81.10 ve R81 sürümlerini etkilemektedir:

• Check Point Force Güvenlik Duvarları
• Check Point Yönetim ve Günlük Sunucuları
• Çok Alanlı Güvenlik Yönetimi ve Çok Alanlı Günlük Sunucusu
• Maestro Orchestrator

Check Point, “Ekim 2026’nın sonlarında, bir güvenlik düzeltmesinin yayınlanmasından yaklaşık bir hafta sonra, 130.94.19[.]204 adresinden kaynaklanan faaliyet, Check Point Güvenlik Ağ Geçitlerindeki savunmasız Mobil Erişim portalları aracılığıyla İsrailli kuruluşları hedef aldı” dedi. “Kanıtlar, CVE-2026-109618 ve CVE-2026-109619 ile ilişkili PHP2Shell ile tutarlı sömürü faaliyetleriyle birlikte bazı başarılı uzlaşma vakalarını gösterdi.”

İlk erişimi sağladıktan sonra, bilinmeyen hacker grubunun, CVE-2026-123039’u kullanarak portal hizmet hesabından kök ayrıcalıklarına yükseldiği ve kalıcı erişim sağlamak amacıyla PHP web kabukları dağıttığı belirtildi. Web kabukları, komut yürütme ve dosya yükleme yeteneklerini desteklemektedir.

2 Kasım 2026’daki dalganın, ilk dalgada zaten hedeflenmiş bazı İsrailli kuruluşları ve dünya genelindeki diğer kuruluşları hedef aldığı, belirli bir coğrafi veya sektörel tercih göstermediği ve fırsatçı bir ilk erişim çabasını işaret ettiği belirtildi.

Web kabuğunun sağladığı erişim, TSGA’ya yol açmaktadır. TSGA, TSProxy adında ikinci bir bileşen de içeren bağımsız, pasif bir arka kapıdır. slot_CPconfigdaemon olarak dağıtılan TSGA, Check Point’e özgü işlevselliğe sahip bir Linux ağ geçidi implantı olarak tanımlanmıştır. Şifreli uzaktan erişim, yapılandırma hırsızlığı, yedekleme ve anlık görüntü kalıcılığı, süreç enjeksiyonu ve ikili güvenlik duvarı günlüğü tahrifatı sunmaktadır.

Check Point, “[TSProxy’nin] enjeksiyon kodu, bu kütüphaneyi seçilen cihaz süreçlerine yükler ve burada ağ işlevlerini özel olarak işaretlenmiş saldırgan bağlantılarını ele almak için keserken, normal trafiğin devam etmesine izin verir” dedi. “Bu, kalıcı bir bağımsız arka kapıyı mevcut cihaz hizmetleri aracılığıyla gizli erişimle birleştirir.”

Gözlemlenen diğer sömürü sonrası eylemler aşağıda listelenmiştir:

• Ağdaki dahili varlıkları ve hizmetleri keşfetmek için ağ geçidinde gogo tarayıcısını dağıtmak.
• vpxuser hizmet hesabı ile kimlik doğrulayarak SSH üzerinden bir VMware ESXi ana bilgisayarına yanal hareket etmek.
• destroy_v6 adlı bir Linux ELF silicisini hazırlamak ve yürütmek. Kötü amaçlı yazılım, hedef dizini özyinelemeli olarak dolaşır ve uzantısına bakılmaksızın tüm dosyaları siler. Ayrıca, dosyaları silmeden önce sıfırlarla üzerine yazmaya çalışır.
• İşlenen her dizine “DREAM_ANNEXATION.txt” adında bir not bırakmak.

Hem TSGA hem de TSProxy’nin, ESET tarafından Haziran 2026’da belgelenen ve Armory Castle (eski adıyla UNC5221) olarak izlenen Çin bağlantılı bir siber casusluk grubuna atfedilen PhiliKit adlı bir araç setinin Check Point’e özgü bileşenleri olduğu değerlendirilmektedir.

Olası bir Çin bağlantılı tehdit aktörünün dahil olduğuna işaret eden diğer faktörler arasında LightNode VPS altyapısının kullanılması ve tarama faaliyetinin UTC saat dilimine göre 12 ile 9 arasında yoğunlaşması, yani tipik Çin çalışma saatleriyle çakışması yer almaktadır.

Ancak siber güvenlik şirketi, aşağıdaki nedenleri belirterek en son kampanyayı tehdit aktörüne veya bilinen diğer Çin bağlantılı gruplara bağlamak için yeterli kanıta sahip olmadığını belirtti:

• Silici kötü amaçlı yazılım kullanımı
• İsrail’e odaklanma ve silici notunda İsrail-Filistin çatışmasına açık referanslar

Check Point, “Tüm kanıtlar bir araya getirildiğinde, bu operasyonun gerçek doğasını yüksek güvenle değerlendirmemize izin vermiyor” dedi. “Birkaç senaryo hala geçerli: tanımlanan aktör tüm kampanyayı yürüttü, yalnızca bir ilk erişim aracısı olarak hareket etti veya bir sahte bayrak operasyonunda yer aldı. Yıkıcı faaliyetin bir perde görevi görmesi de mümkündür.”