Check Point Security GatewayPHP2Shellと権限昇格の連鎖で悪用

何が起きているか

事実（Check Point）

• Check Pointは2026年11月12日、PHPの脆弱性PHP2Shell（CVE-2026-109618、CVE-2026-109619）が同社のSecurity Gatewayで悪用されたと公表した。攻撃者はMobile Accessポータルから侵入し、Gaia OSのローカル権限昇格CVE-2026-123039でrootを取り、永続化した（Check Point Blog）。
• PHP2Shellの修正は10月23日から提供されており、攻撃はその約1週間後に始まった。侵害されたのは1つの地域の未修正の数十台で、該当顧客にはすぐ連絡したとしている（Check Point Blog）。
• CVE-2026-123039は、DynamicCLIの制御用ソケットが誰でも書き込める状態になっていた不備で、ローカルの利用者がroot権限でコマンドを実行できる（sk1000362、Check Point Research）。
• 同じ発表で、悪用は確認されていないGaia Portalの権限昇格（CVE-2026-107484、CVSS 7.3）と、管理サーバーからゲートウェイへの権限境界の回避（CVE-2026-120490、CVSS 3.8）も修正対象として挙げている（Check Point Blog）。

事実（Check Point Researchの分析）

• 1回目の攻撃は10月30日でイスラエルの組織を狙い、一部では破壊活動があった。2回目は11月2日で、複数の国・業種の組織が対象となり、破壊活動の痕跡はなかった。業種の偏りはなく、手当たり次第に侵入口を探していたとみている。
• 侵入後は、ログインページのテンプレート（zz*.tpl）にPHPのWebシェルを置き、CPconfigdaemonという名前で常駐するバックドアTSGAと、正規プロセスに入り込んで通信を中継するTSProxy（/lib/libcpfwcommon.so）を入れた。TSGAにはファイアウォールのログを改ざんする機能もある。
• 一部ではゲートウェイから社内を探索し、vpxuserアカウントでSSHを使ってVMware ESXiに移り、ワイパー「destroy_v6」を実行して政治的な内容のDREAM_ANNEXATION.txtを残した。身代金の要求はない。
• TSGAとTSProxyは、Ivanti製品への攻撃で見つかったマルウェア群PhiliKitの改変版で、PhiliKitはESETが中国系のUNC5221と関連づけている。ただしCheck Point Researchは、破壊活動やイスラエルを狙った点がUNC5221と合わず、実行者を高い確度では判断できないとしている。

影響を受ける製品・バージョン

（Check Point Blog）

修正版・回避策

• 修正：すべてのManagement ServerとSecurity Gatewayに11月のJumbo Hotfixを適用する。PHP2Shellの個別のHotfixは10月23日から出ており、11月のJumbo Hotfixにも含まれる（Check Point Blog、sk1000302、sk1000362）。
• 回避策：Check Pointは回避策を示していない。Mobile Accessをインターネットに公開している機器から優先して更新するよう求めている。

今すぐやること

1. 管理下のSecurity GatewayとManagement Serverの版を確認し、11月のJumbo Hotfixを適用する。Mobile Accessを公開している機器を最優先にする。
2. 次の痕跡を確認する（Check Pointの公表による）。
   • 130.94.19[.]204、130.94.19[.]168からの通信
   • upload_progress_pwnを含むPHPのセッションファイル
   • Mobile Accessのテンプレートディレクトリにある見慣れないzz*.tplやchallenge_render.tpl
   • CPconfigdaemon、slot_CPconfigdaemonという名前のプロセスやファイル、/lib/libcpfwcommon.so
   • /tmpにあるscanner・wiperという名前のファイル、ログ用デーモンの停止後にトラフィックログが途切れていないか
3. 当てはまる痕跡があれば、Hotfixの適用だけで済ませず、機器の再構築と、機器に保存された認証情報・VPNの鍵の入れ替えを検討する。
4. ゲートウェイからESXiなど社内のサーバーへSSHで入れる経路や、vpxuserなどのサービスアカウントの使われ方を確認する。

考察

• 入口の修正だけでは足りなかった: PHP2Shellは10月下旬から広く知られていたが、機器ではそれに加えて独自の権限昇格が組み合わされ、rootを取られた。PHPの脆弱性に加えて機器固有の脆弱性も修正する必要があり、Jumbo Hotfixをまとめて入れるのが確実だと考える。
• 境界の機器から仮想化基盤へ: ファイアウォールを足場にESXiへ移り、データを消す流れは、境界機器が侵害されると社内の中枢まで届くことを示している。ゲートウェイから管理系サーバーへの経路は普段から絞っておきたい。
• 攻撃者の正体は断定できない: ツールは中国系とされるものだが、破壊活動とメッセージの内容は合わない。Check Point Research自身も判断を保留しており、この記事でも特定の集団の仕業とは扱わない。

出典

• Check Point Blog: Security Advisory: Active Exploitation of PHP2Shell and Local Privilege Escalation（2026年11月12日）
• Check Point Research: PHP2Shell Exploitation on Check Point Gateway（2026年11月12日）
• Check Point: sk1000362 - CVE-2026-123039
• Canadian Centre for Cyber Security: Check Point security advisory（AV26-1154）