Gli attacchi PHP2Shell contro i Check Point Security Gateway hanno colpito decine di organizzazioni a partire da fine ottobre 2026. I criminali hanno trasformato i firewall stessi in punti d’ingresso per la rete interna. Il settore della cybersecurity affronta ora una sfida critica: i dispositivi progettati per proteggere diventano armi contro chi li usa.
Come funziona l’attacco: dalla vulnerabilità al controllo totale
Le tre CVE che hanno aperto le porte
Gli attaccanti hanno sfruttato due vulnerabilità di tipo PHP2Shell per l’accesso iniziale. Queste sono CVE-2026-109618 e CVE-2026-109619. Entrambe consentono l’esecuzione remota di codice senza autenticazione. Il vettore di attacco è il portale Mobile Access esposto su internet.
Successivamente, gli attaccanti hanno sfruttato CVE-2026-123039. Questa vulnerabilità colpisce l’interfaccia DynamicCLI del sistema operativo Gaia. Attraverso di essa, i criminali hanno ottenuto accesso root completo al gateway.
In questo modo, la catena di compromissione è risultata devastante. L’attaccante parte da zero privilegi e arriva al controllo totale del dispositivo. L’intera sequenza è avvenuta senza credenziali valide.
Persistence, backdoor e distruzione dei dati
Dopo aver ottenuto i privilegi root, gli attaccanti hanno installato webshell e il backdoor denominato TSGA. Questi strumenti garantivano accesso persistente anche dopo un riavvio del sistema.
Tuttavia, il danno più grave è arrivato successivamente. In diversi incidenti, gli attaccanti hanno distribuito un malware wiper contro gli host VMware ESXi. I dati sulle macchine virtuali sono stati cancellati in modo irreversibile.
Check Point ha confermato circa una ventina di clienti colpiti. La campagna ha preso avvio il 30 ottobre 2026, inizialmente contro organizzazioni israeliane. In seguito, l’attività si è espansa a più paesi e settori industriali.
Il contesto: perché i dispositivi perimetrali sono nel mirino
Un bersaglio privilegiato per gli attaccanti avanzati
I firewall e i gateway VPN sono bersagli ideali per più ragioni. Sono esposti direttamente su internet. Hanno privilegi elevati sulla rete interna. I sistemi interni si fidano di loro per definizione.
Inoltre, CISA e FBI hanno già avvertito pubblicamente di questo rischio. I dispositivi edge vulnerabili o fuori supporto rappresentano una porta d’ingresso preferenziale. Questo schema si ripete ciclicamente: sfruttamento rapido dopo il rilascio delle patch, escalation dei privilegi, movimento laterale.
Vale la pena sottolineare che questa campagna si distingue per la sua severità. La combinazione di exploit su Mobile Access, escalation su DynamicCLI e distruzione dei dati ESXi non aveva precedenti documentati simili. Non si tratta di una semplice violazione perimetrale.
Attribuzione ancora incerta
L’identità del threat actor rimane sconosciuta. Alcuni messaggi a tema politico hanno citato un’entità chiamata “Dream Security Ltd.”. Tuttavia, gli esperti avvertono di non trattare questo elemento come attribuzione affidabile.
Di conseguenza, le organizzazioni non possono affidarsi a indicatori di attribuzione per valutare il proprio rischio. Chiunque gestisca Check Point Security Gateway con portali Mobile Access esposti deve considerarsi potenzialmente esposto.
Come difendersi: priorità operative per CISO e responsabili IT
Trattare il firewall come un server critico
La prima lezione di questa campagna è culturale. I firewall non sono apparati passivi. Sono sistemi ad alto privilegio e vanno gestiti come tali. Ciò significa applicare le patch immediatamente, senza attese.
In particolare, occorre rimuovere l’esposizione non necessaria delle interfacce di gestione su internet. Dove possibile, il portale Mobile Access non deve essere raggiungibile pubblicamente senza protezioni aggiuntive. L’autenticazione multifattore deve essere abilitata su tutti gli accessi remoti.
Parallelamente, è essenziale mantenere un inventario aggiornato dei dispositivi esposti. Ritirare quelli fuori supporto è una priorità, non un’opzione.
Monitoraggio, segmentazione e resilienza
Le organizzazioni devono centralizzare i log dei dispositivi perimetrali. Occorre monitorare webshell, esecuzioni di comandi anomale, connessioni SSH e traffico verso l’infrastruttura di virtualizzazione.
In questo contesto, la segmentazione di rete diventa cruciale. Un firewall compromesso non deve poter amministrare direttamente gli host ESXi. Credenziali separate e sistemi di privileged access management limitano il movimento laterale.
Infine, la resilienza operativa è irrinunciabile. Backup offline e isolati, test di ripristino delle macchine virtuali e inclusione dei gateway nei piani di incident response sono misure essenziali. Un piccolo investimento in aggiornamenti e modernizzazione può prevenire un’interruzione distruttiva.
Fonti
- Check Point Research – PHP2Shell Exploitation
- BleepingComputer – Check Point Gateways Hacked via PHP2Shell
- SecurityWeek – PHP2Shell Exploited in Destructive Attacks
- Check Point Blog – Security Advisory
- Fonte originale – CSO Online
Fonte: Articolo originale
Attacchi come PHP2Shell contro i Check Point Gateway evidenziano quanto sia critica la condivisione tempestiva di threat intelligence tra organizzazioni dello stesso settore. IsacChain permette la condivisione sicura e tracciabile di indicatori di compromissione e advisory tecnici tra membri ISAC, con verifica blockchain che garantisce integrità e provenienza dei dati. La piattaforma integra anche funzionalità di compliance NIS2 automatizzata, aiutando le organizzazioni a documentare e rispondere agli obblighi normativi in caso di incidente su dispositivi perimetrali. Scopri come IsacChain può aiutare la tua organizzazione su www.isacchain.com