مهاجمون يخترقون بوابات Check Point غير المحدثة ويزرعون باباً خلفياً ويمسحون ملفات ESXi

كشفت شركة Check Point أن جهة تهديد غير معروفة استهدفت بوابات Check Point Security Gateways غير المحدثة. حصل المهاجمون على موطئ قدم عبر ثغرات تُعرف باسم PHP2Shell، ثم استغلوا ثغرة لم تكن معروفة سابقاً لرفع الصلاحيات محلياً في نظام Gaia OS، وزرعوا باباً خلفياً سمّته الشركة TSGA.

وبحسب التقارير، بدأ النشاط في 30 أكتوبر 2026 واستهدف منظمات إسرائيلية، ثم تبعته موجة أوسع. وفي بعض الحالات استُخدم الوصول لمسح ملفات على خوادم VMware ESXi.

ثغرة رفع الصلاحيات في قائمة CISA

أضافت وكالة CISA يوم 13 نوفمبر الثغرة CVE-2026-123039 إلى قائمة الثغرات المستغلة. ووفق وصف الوكالة، تعمل خدمة DynamicCLI في Gaia OS بصلاحيات root وتستمع على مقبس محلي قابل للكتابة من الجميع دون التحقق من العمليات المتصلة، فيستطيع مستخدم محلي مصادق تنفيذ أوامر بصلاحيات root. ومنحت الوكالة الجهات الفيدرالية مهلة حتى 16 نوفمبر.

ماذا تفعل؟

1. طبّق آخر تحديثات Check Point لإصدار Gaia لديك فوراً، وراجع نشرة الشركة الخاصة بالحادثة.
2. افحص البوابات بحثاً عن مؤشرات الاختراق المنشورة، وخاصة الباب الخلفي TSGA.
3. قيّد الوصول الإداري إلى البوابات، وتأكد من وجود نسخ احتياطية غير متصلة لخوادم ESXi.