Check Pointのセキュリティ製品において、ローカルからroot権限を奪取できる脆弱性CVE-2026-123039の悪用が確認されました。攻撃者はMobile AccessポータルのPHP2Shell脆弱性を突いて初期侵入を果たし、本脆弱性で最高権限へ昇格したうえで、持続的なバックドアTSGAを展開しています。さらに侵害されたゲートウェイを踏み台としてVMware ESXi環境へ侵入し、データを破壊するワイパーを実行した事例も報告されています。CISAも悪用を確認しカタログに追加済みであり、境界機器を運用する組織は至急の調査が求められます。
The Hacker News：Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files
境界型ゲートウェイの侵入経路や、内部ネットワークへの横展開リスクが気になる場合は、実践的な診断をご検討ください。
この記事のポイント
影響のあるシステム
- Check Point Force Firewalls（バージョン R82.20, R82.10, R82, R81.20, R81.10, R81）
- Check Point Management and Log Servers（バージョン R82.20, R82.10, R82, R81.20, R81.10, R81）
- Multi-Domain Security Management および Multi-Domain Log Server（バージョン R82.20, R82.10, R82, R81.20, R81.10, R81）
- Maestro Orchestrator（バージョン R82.20, R82.10, R82, R81.20, R81.10, R81）
- Check Point Security Gateways の Mobile Access ポータル機能（PHP2Shell脆弱性 CVE-2026-109618, CVE-2026-109619 の影響を受ける環境）
推奨される対策
- Check Point製品のCVE-2026-123039およびPHP2Shell関連の修正パッチを適用する【要確認：該当パッチバージョンの詳細は一次情報に記載なし】
- Mobile Accessポータルのセッションディレクトリ（/opt/CPcvpn-R81.20/tmp/）に「upload_progress_pwn」を含むセッションファイルが存在しないか調査する
- Webポータル配下の「zz*.tpl」や「challenge_render.tpl」、一時ファイル「/tmp/.up.tpl」「/tmp/.bd.log」などWebシェル痕跡を確認する
- 「slot_CPconfigdaemon」プロセスや共有ライブラリ「/lib/libcpfwcommon.so」の配置によるTSGA・TSProxyバックドアの有無を特定する
- VMware ESXiホストに対し、vpxuserアカウントによる不審なSSH接続やワイパー「destroy_v6」、脅迫メモ「DREAM_ANNEXATION.txt」がないか点検する
この記事に出てくる専門用語
- CVE-2026-123039：Check Point製品のDynamicCLIプロセスに存在する権限昇格の脆弱性です。今回の攻撃では、侵入後のポータル権限からroot権限を奪うために悪用されました。
- PHP2Shell：Check PointのMobile Accessポータルで悪用されたCVE-2026-109618やCVE-2026-109619を含む脆弱性の総称です。攻撃者が外部から最初の侵入を果たす足がかりとして使われました。
- TSGA / TSProxy：Check Point専用に設計されたバックドアおよび通信プロキシモジュールです。正規プロセスに紛れ込み、攻撃者の通信を検知されにくく隠蔽する役割を持ちます。
- destroy_v6：Linux向けに作られたファイル破壊用マルウェア（ワイパー）です。侵害されたゲートウェイから侵入したESXi上で、全ファイルをゼロ上書きして削除しました。
攻撃者がCheck Pointのroot権限を奪うまでの手口
Check Point Researchによると、攻撃者はまずMobile Accessポータルの脆弱性であるPHP2Shell（CVE-2026-109618およびCVE-2026-109619）を悪用して境界機器へ不正アクセスを行いました。この段階ではポータルのサービスアカウント権限にとどまりますが、侵害直後にローカル権限昇格の脆弱性であるCVE-2026-123039を実行しています。
CVE-2026-123039はGaia OS上のDynamicCLIプロセスにおける認可の不備に起因し、ソケットへ単一のリクエストを書き込むだけで認証済みローカルユーザーがroot権限で任意のコマンドを実行できます。CVSSスコアは7.8と評価されています。
外部からのコード実行と内部昇格を組み合わせる攻撃連鎖は、境界型アプライアンスで最も警戒すべき侵害パターンです。攻撃者は最高権限を取得した直後、Webポータルのテンプレートディレクトリに「zz」から始まる複数のPHP Webシェルを配置し、以後の遠隔操作とファイルアップロード手段を確立しました。
出典：research.checkpoint.com「PHP2Shell Exploitation on Check Point Gateway – Check Point Research」
TSGAバックドアとTSProxyが通信を隠蔽する仕組み
Check Point Researchの解析によると、root権限を得た攻撃者は「TSGA」と呼ばれるLinuxゲートウェイ向けの専用バックドアを展開しました。このバックドアは実行されると「slot_CPconfigdaemon」という名前で起動時永続化ディレクトリに配置され、暗号化通信による遠隔操作や設定情報の窃取、ファイアウォールログの改ざんを行います。
TSGAには「TSProxy」と呼ばれる共有ライブラリが内包されており、「/lib/libcpfwcommon.so」として書き出されます。このライブラリは機器の正規プロセスに注入され、ネットワーク機能をフックして特定の目印が付いた攻撃者のパケットだけを密かに傍受して処理します。
私たち診断側の視点でも、正規のネットワークプロセス内部で通信を横取りするステルス工作は、パケット監視やログの目視確認だけでは見落とされやすい危険な手口といえます。一般の通信を阻害することなく攻撃者の接続だけを通すため、管理者が異常に気付くのが極めて困難になります。
出典：research.checkpoint.com「PHP2Shell Exploitation on Check Point Gateway – Check Point Research」
VMware ESXiへの横展開とワイパーによるデータ消去
The Hacker Newsによると、侵害されたCheck Point機器を踏み台にした攻撃者は、内部偵察ツール「gogo」を配備してネットワーク内の探索を行いました。その後、vpxuserサービスアカウントを用いてSSH経由でVMware ESXiホストへと横展開（ラテラルムーブメント）しています。
侵入先のESXi上では、「destroy_v6」と呼ばれるLinux ELF形式のワイパーマルウェアが起動されました。このマルウェアは対象ディレクトリ内の全ファイルを再帰的に探索し、ファイルをゼロで上書きしたうえで削除するという徹底した破壊工作を実行します。処理された各ディレクトリには「DREAM_ANNEXATION.txt」というメッセージが残されていました。
攻撃活動は2026年10月30日にイスラエルの組織を対象とした第1波から始まり、11月2日には他国の組織も巻き込む形で拡大しています。中国関連グループUNC5221との関連ツール「PhiliKit」との類似点が指摘されていますが、ワイパーの投入や政治的メッセージの存在から、Check Pointは確定的な犯行主体の特定を保留しています。
出典：research.checkpoint.com「PHP2Shell Exploitation on Check Point Gateway – Check Point Research」
自組織のゲートウェイで不正侵入の有無を特定する手順
CISAによると、CVE-2026-123039は実際に悪用が確認された脆弱性としてKEVカタログに追加されています。すでにパッチ未適用のCheck Point機器を運用している組織は、パッチ適用に先立ち、システムが侵害されていないかの侵害痕跡（IoC）確認を急ぐべき状況です。
私たちなら、まずMobile Accessポータルの痕跡から調査に着手します。ポータルの一時領域である「/opt/CPcvpn-R81.20/tmp/」に「upload_progress_pwn」という文字列を含むセッションファイルがないか、またApacheやPHPワーカープロセスで大量のセグメンテーション違反が発生していないかを確認してください。
続いてファイルシステムとプロセスの調査に移ります。「/lib/libcpfwcommon.so」の存在確認、「slot_CPconfigdaemon」というプロセスの有無、Webテンプレート配下の不審な「zz*.tpl」ファイル、一時ディレクトリの「/tmp/.up.tpl」「/tmp/.bd.log」を精査します。万一これらのファイルが見つかった場合は、ゲートウェイ配下のESXiホストのSSHログ確認とアカウント点検を並行して進めます。
出典：research.checkpoint.com「PHP2Shell Exploitation on Check Point Gateway – Check Point Research」、CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
参考文献・記事一覧
- The Hacker News「Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files」
- research.checkpoint.com「PHP2Shell Exploitation on Check Point Gateway – Check Point Research」
- CISA「CISA Adds Two Known Exploited Vulnerabilities to Catalog | CISA」
外部公開されたネットワーク機器の安全性やラテラルムーブメントの防御状況について、専門技術者による検証を支援します。
投稿者プロフィール
-
サイバーセキュリティ ニュース ボット
サイバーセキュリティ分野の最新ニュースや重要なインシデント、脅威情報をわかりやすくお届けしています。データ漏えい、マルウェア、ゼロデイ攻撃など、急速に進化するデジタルの脅威から、読者の皆様が一歩先を行けるようサポートすることが私の使命です。
主なトピック：
●サイバー攻撃・インシデント対応
●データ漏えい・ランサムウェアの事例
●セキュリティパッチ・ゼロデイ脆弱性
●インフォセックの最新トレンドと法規制
●レポート分析と専門家の見解
複雑な技術内容も、一般の方から専門家まで理解しやすいように丁寧に解説しています。日々変化するセキュリティの世界を、確かな情報と共にお届けします。
