Des passerelles Check Point effacées via la chaîne PHP2Shell; la CISA ajoute les failles au catalogue KEV

Passerelles Check Point exploitées via PHP2Shell et CVE-2026-123039 : porte dérobée TSGA et wiper ESXi; ajouts au catalogue KEV de la CISA.

  • Des attaquants exploitent des passerelles de sécurité Check Point non corrigées via le portail Mobile Access, en utilisant la chaîne d'exploitation PHP2Shell et CVE-2026-123039 pour obtenir les droits root, puis déploient la porte dérobée TSGA et un logiciel destructeur (wiper) sur des hôtes VMware ESXi.
  • Tout district, conseil scolaire ou organisme exposant ses interfaces de gestion ou ses portails d'accès à distance sur Internet est concerné; la campagne est observée mondialement depuis le 30 octobre.
  • La CISA a ajouté CVE-2026-123039 et la faille UnrealIRCd CVE-2026-114713 à son catalogue des vulnérabilités exploitées connues le 13 novembre, ce qui en fait des priorités de correction obligatoires.

À faire maintenant

  1. 1. Inventorier dès maintenant chaque passerelle de sécurité Check Point et chaque portail Mobile Access, consigner la version du micrologiciel/Gaia OS et le responsable, et signaler tout élément joignable depuis Internet.
  2. 2. Appliquer les correctifs Check Point et les mises à jour Gaia OS couvrant CVE-2026-123039 et les failles PHP2Shell; si la correction doit attendre, désactiver les fonctions Mobile Access inutilisées et restreindre le portail aux réseaux approuvés.
  3. 3. Rechercher des traces de compromission depuis le 30 octobre : comptes administratifs nouveaux ou modifiés, configuration de passerelle altérée, processus inattendus, artefacts de la porte dérobée TSGA et anomalies ESXi (suppression massive de fichiers, retrait d'instantanés, corruption de banque de données).
  4. 4. Isoler les passerelles et hôtes ESXi suspects, préserver les journaux et les images disque/mémoire, puis remplacer tous les identifiants, clés d'API, certificats et clés SSH liés à la gestion des passerelles et de vSphere avant toute reconstruction.
  5. 5. Restreindre la gestion vSphere/ESXi à un VLAN d'administration ou à un hôte bastion, activer le mode verrouillage lorsque c'est possible, valider les sauvegardes hors ligne ou immuables et tester la restauration avant de rebrancher quoi que ce soit en production.

Articles liés