PHP2Shell-Angriffe treffen Check-Point-Gateways und löschen ESXi-Daten

Die PHP2Shell-Angriffe, die am 30. Oktober begannen, kompromittierten Check-Point-Gateways israelischer Organisationen und löschten Daten auf VMware-ESXi-Hosts innerhalb ihrer Netzwerke. Eine zweite Angriffswelle am 2. November traf Unternehmen in mehreren Ländern und Branchen. Die Ermittler fanden in diesen Fällen jedoch keine Hinweise darauf, dass Daten gelöscht wurden.

Check Point verfolgte die Angriffe in Israel von den öffentlich erreichbaren Gateways bis zu den betroffenen Servern zurück. Die Sicherheitsforscher des Unternehmens kamen zu dem Schluss, dass derselbe Angreifer sowohl für die ursprünglichen Einbrüche als auch für die zerstörerischen Aktivitäten verantwortlich war. Bei der zweiten Angriffswelle identifizierten die Ermittler ebenfalls kompromittierte Gateways. Was der Angreifer anschließend unternahm, bleibt jedoch unklar.

Angreifer hinterlassen politische Botschaft auf VMware-Hosts

In den israelischen Fällen entdeckten die Ermittler auf betroffenen VMware-ESXi-Hosts ein Programm namens destroy_v6. Die Malware konnte Daten vor dem Löschen überschreiben, wodurch eine Wiederherstellung erschwert wurde. Der Angreifer hinterließ außerdem eine Nachricht mit politischen Botschaften und einem Verweis auf Dream Security Ltd. Darin wurden Lösegeldverhandlungen ausdrücklich ausgeschlossen, was darauf hindeutet, dass die Angriffe wahrscheinlich auf die Störung des Betriebs abzielten.

Wer die Angriffe durchführte, ist weiterhin ungeklärt. Die Forscher entdeckten Ähnlichkeiten zwischen einer Hintertür auf den Gateways und PhiliKit, einem Malware-Framework, das bereits bei Angriffen auf Ivanti-Geräte beobachtet worden war. Frühere Untersuchungen hatten PhiliKit mit der chinesischen Bedrohungsgruppe UNC5221 in Verbindung gebracht. Weder die Ähnlichkeiten der Software noch die politische Botschaft lieferten den Ermittlern jedoch genügend Beweise, um den Angreifer zu identifizieren.

Notfall-Patches für PHP erschienen vor den Gateway-Angriffen

Die PHP2Shell-Angriffe sind nach zwei kritischen PHP-Schwachstellen benannt, CVE-2026-109618 und CVE-2026-109619. Beide ermöglichen es Angreifern, ohne Anmeldung aus der Ferne Code auszuführen. Die Forscher registrierten die ersten Ausnutzungsversuche am 17. Oktober, vier Tage bevor das PHP-Projekt Notfall-Patches veröffentlichte. Am 26. Oktober nahm die US-amerikanische Cybersicherheitsbehörde CISA beide Schwachstellen in ihren Katalog bekannter, aktiv ausgenutzter Sicherheitslücken auf.

Der Jumbo Hotfix von Check Point aus dem November behebt beide PHP-Schwachstellen sowie eine separate Sicherheitslücke zur Rechteausweitung, CVE-2026-123039, die die Ermittler bei den Gateway-Angriffen identifizierten. Das Unternehmen empfiehlt, das Update auf allen Management Servers und Security Gateways zu installieren. Vorrang sollten dabei Gateways haben, deren Mobile-Access-Portale über das Internet erreichbar sind.

Für Administratoren, die zuvor exponierte Gateways überprüfen, hob Check Point unerwartete Prozesse und unerklärliche Lücken in Firewall-Protokollen hervor. Das Unternehmen wies außerdem auf unautorisierte SSH-Verbindungen von einem Gateway zu einem internen ESXi-Host hin. Solche Verbindungen können Ermittlern helfen festzustellen, ob ein Angriff die Systeme erreicht hat, auf denen die virtuellen Maschinen einer Organisation ausgeführt werden.