易受攻击的Check Point安全网关实例成为PHP2Shell攻击的目标，攻击者在VMware ESXi主机上部署了数据擦除恶意软件。
该攻击活动始于10月30日，最初针对以色列组织。整个攻击行动——从初始访问、横向移动到部署PHP Webshell——均由同一威胁行为者完整实施。
研究人员发现，在部分案例的破坏性阶段出现了政治信息，这引发了外界对是否存在“假旗行动”（栽赃嫁祸）的疑问。
PHP2Shell是两个PHP严重漏洞的合称，编号分别为CVE-2026-109618和CVE-2026-109619，可让攻击者在易受攻击的系统上实现无需身份验证的远程代码执行。
PHP已于10月21日发布紧急补丁修复这些漏洞。不过，据亚马逊威胁情报称，相关利用尝试早在四天前就已开始。
美国网络安全和基础设施安全局（CISA）于10月26日将这两个漏洞纳入其已知遭利用漏洞（KEV）目录，随后警告称，攻击者正在将PHP2Shell漏洞与Fragnesia Linux内核漏洞链式组合利用，以获取root权限。
网络安全公司Check Point表示，第一波利用攻击针对以色列组织，而11月2日的第二波攻击则波及多个国家和行业的公司。
攻击者利用PHP2Shell经由网关的Mobile Access门户获得访问权限，随后利用一个新披露的零日漏洞（CVE-2026-123039）获取root权限。
随后，攻击者滥用这些权限安装了PHP Webshell和TSGA后门。该后门内嵌一个名为TSProxy的网络组件，用于侦听隐藏在正常流量中的攻击者命令。
在针对以色列组织的攻击中，威胁行为者从网关横向移动至VMware ESXi主机——这些主机是借助开源网络侦察工具gogo扫描器定位到的。
在攻击的最后阶段，威胁行为者部署了名为destroy_v6的数据擦除软件，该软件会递归删除目标目录中的数据。
该擦除软件首先尝试零填充（zero fill），以加大数据恢复难度；它还支持一种跳过覆写步骤的快速模式。
Check Point还发现，攻击者在ESXi主机上留下了一份名为DREAM_ANNEXATION.txt的文件，其中提及"Dream Security Ltd."。
该文件包含政治信息，并明确拒绝赎金谈判，表明攻击者的唯一目的就是造成破坏与干扰。
Check Point初步将TSGA和TSProxy与PhiliKit建立了关联。PhiliKit是一个此前曾在针对Ivanti设备的攻击中出现过的恶意软件框架，ESET曾将其与中国威胁集群UNC5221相关联。
不过，基于现有证据，尚无法对这些攻击作出有把握的归因。
据研究人员称，第二波攻击并未包含破坏性活动，但威胁行为者后续采取了哪些行动仍不得而知。
Check Point建议客户在所有管理服务器和安全网关上安装11月版Jumbo Hotfix，并优先处理Mobile Access门户暴露于互联网的设备。
该更新修复了PHP2Shell漏洞以及攻击中利用的DynamicCLI提权漏洞。
管理员还应排查此前暴露过的网关是否存在入侵迹象，包括：包含upload_progress_pwn的会话文件、异常的CPconfigdaemon进程或二进制文件，以及防火墙日志中无法解释的空白时段。
此外，从网关发起的指向内部VMware ESXi主机的未授权SSH活动，同样是系统遭到入侵的明显迹象。
该攻击活动始于10月30日，最初针对以色列组织。整个攻击行动——从初始访问、横向移动到部署PHP Webshell——均由同一威胁行为者完整实施。
研究人员发现，在部分案例的破坏性阶段出现了政治信息，这引发了外界对是否存在“假旗行动”（栽赃嫁祸）的疑问。
PHP2Shell是两个PHP严重漏洞的合称，编号分别为CVE-2026-109618和CVE-2026-109619，可让攻击者在易受攻击的系统上实现无需身份验证的远程代码执行。
PHP已于10月21日发布紧急补丁修复这些漏洞。不过，据亚马逊威胁情报称，相关利用尝试早在四天前就已开始。
美国网络安全和基础设施安全局（CISA）于10月26日将这两个漏洞纳入其已知遭利用漏洞（KEV）目录，随后警告称，攻击者正在将PHP2Shell漏洞与Fragnesia Linux内核漏洞链式组合利用，以获取root权限。
网络安全公司Check Point表示，第一波利用攻击针对以色列组织，而11月2日的第二波攻击则波及多个国家和行业的公司。
攻击者利用PHP2Shell经由网关的Mobile Access门户获得访问权限，随后利用一个新披露的零日漏洞（CVE-2026-123039）获取root权限。
随后，攻击者滥用这些权限安装了PHP Webshell和TSGA后门。该后门内嵌一个名为TSProxy的网络组件，用于侦听隐藏在正常流量中的攻击者命令。
在针对以色列组织的攻击中，威胁行为者从网关横向移动至VMware ESXi主机——这些主机是借助开源网络侦察工具gogo扫描器定位到的。
在攻击的最后阶段，威胁行为者部署了名为destroy_v6的数据擦除软件，该软件会递归删除目标目录中的数据。
该擦除软件首先尝试零填充（zero fill），以加大数据恢复难度；它还支持一种跳过覆写步骤的快速模式。
Check Point还发现，攻击者在ESXi主机上留下了一份名为DREAM_ANNEXATION.txt的文件，其中提及"Dream Security Ltd."。
该文件包含政治信息，并明确拒绝赎金谈判，表明攻击者的唯一目的就是造成破坏与干扰。
Check Point初步将TSGA和TSProxy与PhiliKit建立了关联。PhiliKit是一个此前曾在针对Ivanti设备的攻击中出现过的恶意软件框架，ESET曾将其与中国威胁集群UNC5221相关联。
不过，基于现有证据，尚无法对这些攻击作出有把握的归因。
据研究人员称，第二波攻击并未包含破坏性活动，但威胁行为者后续采取了哪些行动仍不得而知。
Check Point建议客户在所有管理服务器和安全网关上安装11月版Jumbo Hotfix，并优先处理Mobile Access门户暴露于互联网的设备。
该更新修复了PHP2Shell漏洞以及攻击中利用的DynamicCLI提权漏洞。
管理员还应排查此前暴露过的网关是否存在入侵迹象，包括：包含upload_progress_pwn的会话文件、异常的CPconfigdaemon进程或二进制文件，以及防火墙日志中无法解释的空白时段。
此外，从网关发起的指向内部VMware ESXi主机的未授权SSH活动，同样是系统遭到入侵的明显迹象。
