Faille PHP2Shell : des passerelles Check Point piratées (TSGA)

Un acteur inconnu exploite la faille PHP2Shell sur des passerelles Check Point non corrigées pour installer la porte dérobée TSGA.

Une nouvelle campagne vise des équipements de sécurité réseau très répandus. Un acteur malveillant non identifié exploite la faille PHP2Shell sur des Check Point Security Gateways non mises à jour. Son but : obtenir un accès initial, puis déployer une porte dérobée baptisée TSGA. Check Point a détaillé cette activité, qui a débuté le 30 octobre 2026.

Une faille PHP2Shell au cœur de l’intrusion

Les attaquants ciblent d’abord des passerelles de sécurité vulnérables. Ces équipements se situent en bordure de réseau. Ils filtrent le trafic, mais ils offrent aussi un point d’entrée très convoité.

En effet, une passerelle compromise donne une position privilégiée. Elle permet d’observer les flux, de rebondir vers le réseau interne et de rester discret. C’est pourquoi les pare-feu et les VPN attirent autant les groupes offensifs.

Les vulnérabilités PHP2Shell servent ici de première étape. Elles permettent de prendre pied sur la passerelle. Toutefois, cet accès initial ne suffit pas à l’attaquant pour aller plus loin.

Des cibles israéliennes, puis une vague plus large

La première phase de l’activité a visé des organisations israéliennes. Elle a commencé le 30 octobre 2026. Ensuite, une vague de suivi plus large a été observée.

Autrement dit, la campagne ne s’est pas limitée à un cercle restreint de victimes. Les opérateurs ont élargi leur périmètre après les premiers accès. Les détails complets de cette extension figurent dans l’analyse de Check Point.

À ce stade, l’identité de l’acteur reste inconnue. Aucun rattachement à un groupe précis n’a été établi dans les informations disponibles. Il convient donc de rester prudent sur toute attribution.

Gaia OS et porte dérobée TSGA

Une fois dans la passerelle, l’attaquant enchaîne avec une seconde faille. Il s’agit d’une vulnérabilité d’élévation de privilèges locale dans Gaia OS, déjà signalée auparavant. Elle lui permet d’obtenir des droits supérieurs sur le système.

Ce type d’enchaînement est classique. D’abord, une faille donne un accès limité. Ensuite, une seconde faille transforme cet accès en contrôle quasi total. Par conséquent, un correctif manquant sur un seul maillon suffit à ouvrir la voie.

Avec ces privilèges, l’acteur déploie la porte dérobée TSGA. Ce logiciel malveillant lui assure un accès durable à la passerelle. Il peut ainsi revenir à volonté, même si la faille initiale est ensuite connue.

Effacement de fichiers sur des hyperviseurs ESXi

L’incident fait également état d’un effacement de fichiers sur des environnements VMware ESXi. Ces hyperviseurs hébergent souvent de nombreuses machines virtuelles critiques. Leur destruction peut donc paralyser une organisation entière.

Cet aspect change la nature de la menace. On ne parle plus seulement d’espionnage ou d’accès discret. Il s’agit aussi d’une logique destructrice, qui vise la disponibilité des systèmes.

Notons que les informations disponibles ne précisent pas tous les détails techniques de cette étape. Les équipes concernées doivent donc consulter directement les indicateurs publiés par l’éditeur.

Recommandations pour les équipes de sécurité

Cette campagne rappelle une règle simple. Un équipement de sécurité non corrigé devient un risque majeur. Voici les actions à mener en priorité.

• Appliquer les correctifs publiés par Check Point sur toutes les Security Gateways, sans attendre une fenêtre de maintenance lointaine.
• Vérifier la version de Gaia OS et s’assurer que la faille d’élévation de privilèges locale est bien corrigée.
• Rechercher les traces de TSGA et les indicateurs de compromission communiqués par l’éditeur.
• Limiter l’exposition des interfaces d’administration, notamment depuis Internet.
• Durcir les hôtes ESXi : accès restreint, journalisation centralisée et segmentation du réseau de gestion.
• Protéger les sauvegardes en les isolant du réseau de production, par exemple avec des copies hors ligne.

Ce qu’il faut retenir

Premièrement, la faille PHP2Shell sert de porte d’entrée sur des passerelles Check Point non corrigées. Deuxièmement, une faille d’élévation de privilèges dans Gaia OS permet ensuite d’installer la porte dérobée TSGA. Troisièmement, la campagne a débuté le 30 octobre 2026 contre des organisations israéliennes, puis s’est élargie.

Enfin, la présence d’un effacement de fichiers ESXi montre un risque de destruction. Les organisations doivent donc corriger rapidement, surveiller leurs passerelles et vérifier la résilience de leurs sauvegardes.

Source : Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files