Check Point Gateway ถูกโจมตีหนักด้วย PHP2Shell เพื่อฝัง Wiper

Check Point รายงานการตรวจพบผู้ไม่หวังดีใช้ประโยชน์จากช่องโหว่ PHP2Shell เพื่อเจาะระบบอุปกรณ์ Check Point Gateway พร้อมติดตั้งมัลแวร์ประเภท Wiper เพื่อทำลายข้อมูลภายในองค์กรที่เป็นเหยื่ออย่างรุนแรง

การโจมตีแบ่งออกเป็นสองระลอก โดยระลอกแรกเริ่มต้นเมื่อวันที่ 30 ตุลาคม มุ่งเน้นการทำลายล้างข้อมูลในองค์กรของประเทศอิสราเอล ส่วนระลอกที่สองเริ่มขึ้นเมื่อวันที่ 2 พฤศจิกายน โดยขยายขอบเขตไปยังเป้าหมายในหลายประเทศทั่วโลก

PHP2Shell ประกอบด้วยช่องโหว่ระดับวิกฤตสองรายการคือ CVE-2026-109618 และ CVE-2026-109619 ซึ่งทำให้เกิดการทำ Remote Code Execution (RCE) ได้ใน PHP ทุกเวอร์ชันตั้งแต่ 5 ขึ้นไป แม้จะมีการออกแพตช์เมื่อวันที่ 21 ตุลาคม แต่พบว่ามีการเริ่มโจมตี หลายวันก่อนการออกแพตช์ และขยายตัวเป็นการ โจมตีเป็นวงกว้าง ในเวลาต่อมา

ในการทำ แคมเปญโจมตี Check Point ครั้งนี้ ผู้โจมตีใช้ PHP2Shell เพื่อเข้าถึงระบบในขั้นแรก จากนั้นจึงใช้ช่องโหว่ CVE-2026-123039 ซึ่งเป็นช่องโหว่การยกระดับสิทธิ์ภายในเครื่อง (Local Privilege Escalation) ในกระบวนการ DynamicCLI เพื่อครองสิทธิ์ root และติดตั้ง PHP Webshells สำหรับคงการเข้าถึงระบบเอาไว้

ช่วงปลายเดือนตุลาคม พบเป้าหมายหลักคือ Mobile Access gateways ในอิสราเอล โดยแฮกเกอร์ฝัง PHP Webshells ไว้ในไดเรกทอรีที่ใช้สร้างหน้าล็อกอิน เพื่อส่งคำสั่งควบคุมและสร้างฐานที่มั่นถาวร จากนั้นจึงติดตั้ง TSGA และ TSProxy ซึ่งเป็นมัลแวร์ในตระกูล PhiliKit ที่เคย ถูกพบ (PDF) ในการโจมตีอุปกรณ์ Ivanti โดยกลุ่ม UNC5221 ที่มีความเชื่อมโยงกับจีน

หลังจากแทรกซึมได้แล้ว ผู้โจมตีจะค้นหาทรัพย์สินในระบบและเคลื่อนที่ในแนวราบ (Laterally) ไปยังโฮสต์ VMware ESXi เพื่อรันมัลแวร์ Wiper ทำลายข้อมูล พร้อมทิ้งข้อความถึง Dream Security แม้พฤติกรรมบางส่วนและช่วงเวลาปฏิบัติงานจะชี้ไปที่จีน แต่การโจมตีเน้นทำลายล้างเช่นนี้ถือว่าผิดปกติจากการปฏิบัติการไซเบอร์ของจีนในอดีต

Check Point ระบุว่าหลักฐานปัจจุบันยังไม่เพียงพอที่จะระบุตัวตนผู้อยู่เบื้องหลังได้อย่างมั่นใจ โดยอาจเป็นได้ทั้งผู้ก่อภัยคุกคามที่ตั้งใจโจมตีเอง, เป็นเพียงผู้จัดหาการเข้าถึง (Initial Access Broker), หรือเป็นการปฏิบัติการอำพรางตัว (False-flag Operation) เพื่อเบี่ยงเบนความสนใจ ทั้งนี้ในการโจมตีระลอกที่สองทั่วโลกยังไม่พบกิจกรรมการทำลายข้อมูล และดูเหมือนจะเป็นการสุ่มโจมตีแบบฉวยโอกาสมากกว่าเจาะจงเฉพาะกลุ่มอุตสาหกรรม