Межсетевой экран (firewall) должен быть непреодолимой преградой для злоумышленников.
Однако межсетевые экраны имеют выход в интернет, что делает их столь же уязвимыми для атак, как и другие системы. Об этом свидетельствуют экстренные исправления от Check Point Software для ряда своих продуктов. Патчи устраняют критическую уязвимость повышения привилегий CVE-2026-123039, которая предоставляет злоумышленникам права root и возможность отправлять команды демону Dynamic CLI операционной системы Gaia, являющемуся ключевым фоновым процессом.
Хакеры использовали уязвимость с рейтингом 7,8 с конца октября, и Check Point сообщил, что пострадали «пара десятков» клиентов.
Неудивительно, что злоумышленники получили первоначальный доступ через PHP2Shell — собирательное название двух критических уязвимостей PHP, отслеживаемых как CVE-2026-109618 и CVE-2026-109619. Ошибки с рейтингом 9,2 позволяют выполнять удаленное выполнение кода (RCE) без аутентификации.
«Для клиентов одна точка проникновения открывала полный набор возможностей: шпионаж, закрепление и уничтожение, — сказал Фрэнк Диксон из Dickson Research. — Для Check Point цена — это доверие. Межсетевой экран должен быть самой сильной точкой в сети, а не самой слабой».
Предоставление непреднамеренного доступа root
CVE-2026-123039 — это ошибка в интерфейсе Dynamic CLI IPC (Inter-Process Communication), который отправляет запросы привилегированных команд динамическому CLI операционной системы Gaia на уровне root. Это локальная уязвимость повышения привилегий, что означает, что злоумышленник уже должен иметь возможность локального выполнения кода на устройстве; это объясняет ее рейтинг 7,8.
Злоумышленники сначала получили доступ к порталу Mobile Access, используя уязвимости PHP2Shell. Затем они повысили свои привилегии до root, используя эксплойты нулевого дня CVE-2026-123039.
«Как только у злоумышленников есть права root, они могут делать все, что захотят, — сказал Диксон. — Служба управления на устройстве работает под root, прослушивает локальный сокет, в который может записывать любой процесс на устройстве, и никогда не проверяет, кто вызывает».
В данном случае злоумышленники спрятали веб-оболочки в шаблонах, которые портал использует для создания страницы входа, и установили бэкдор TSGA и вредоносное ПО TSProxy, которое переживает перезагрузки, встраивается в резервные копии и снимки, а также скрывается внутри собственных процессов устройства, пояснил он.
«Этот бэкдор может скопировать конфигурацию межсетевого экрана, которая, по сути, является планом сети, — сказал он. — Он также может изменять журналы межсетевого экрана, скрывая действия злоумышленника».
Check Point сообщил, что после получения доступа root злоумышленники перешли с скомпрометированного шлюза на хост VMware ESXi через SSH, развернули вайпер destroy_v6 и оставили сообщения на политическую тематику, подписанные группой Dream Security Ltd, во время деструктивной фазы.
Check Point рекомендовал командам безопасности немедленно развернуть исправления для CVE-2026-123039, начиная с устройств, которые предоставляют доступ Mobile Access в интернет. Те, кто не может сделать это немедленно, должны остановить процесс dynamic_server и предотвратить его перезапуск. Однако они предупредили, что это может привести к потере некоторых команд CLI.
Диксон также посоветовал клиентам отключить Mobile Access там, где он не используется, держать интерфейсы управления полностью вне интернета и запускать проверки журналов, рекомендованные в консультации, на любом шлюзе, подвергшемся риску с конца октября, а затем отключить связь между межсетевым экраном и гипервизором. Потенциально подвергшийся риску шлюз никогда не должен иметь доверенного пути к VMware ESXi.
Они также должны отправлять журналы межсетевого экрана с устройства по мере их возникновения в систему, к которой межсетевой экран не может получить доступ.
Продукты, затронутые CVE-2026-123039, включают Firewall, Multi-Domain Security Management Server, Security Gateway, Security Management Server и Scalable Platforms от Check Point.
Инструменты безопасности — такая же цель, как и то, что они защищают
Как только злоумышленники получают доступ root, устройство фактически становится доверенной отправной точкой для атак на другие системы, которые в противном случае остались бы под защитой, пояснил Эрик Авакян, технический консультант Infotech. Эффективно контролируя шлюз, они могут выполнять широкий спектр злонамеренных действий.
Общий вывод и ирония ситуации, отметил Авакян, заключается в том, что сама технология, которую организации используют для защиты, может стать одной из их самых больших уязвимостей.
«Организации больше не могут предполагать, что их инфраструктура безопасности по своей сути безопасна только потому, что она предназначена для обеспечения защиты, — сказал он. — На самом деле, она является такой же целью, как и системы, которые она защищает».
Межсетевые экраны, VPN-устройства и шлюзы безопасности все чаще становятся мишенью, поскольку они предоставляют наибольшие возможности для контроля и управления, отметил он. Поэтому команды безопасности должны относиться к этим устройствам как к ценным активам с такими же мерами контроля доступа, управления уязвимостями, мониторинга и реагирования на инциденты, как и к другой критически важной инфраструктуре.
Это означает агрессивное исправление систем, обращенных в интернет, ограничение доступа к управлению, мониторинг необычной административной активности и поиск признаков закрепления или бокового перемещения, сказал он. Но исправления не изгоняют уже укоренившихся злоумышленников, поэтому команды безопасности должны расследовать и, при необходимости, перестраивать затронутые системы из доверенных образов.
И поскольку ИИ ускоряет атаки, директора по информационной безопасности (CISO) должны рассмотреть возможность установления мышления и архитектуры нулевого доверия (zero trust) на всех уровнях: идентификация, сеть, приложения, данные и устройства, сказал он.
Следите за периферией
Периферийные устройства являются основными целями, поскольку они находятся на границе, имеют привилегированный доступ и редко получают такой же мониторинг конечных точек, как другие системы, отметил Скотт Мисереджино, технический директор DataBee. Устройства безопасности следует рассматривать как высокорисковые активы, которыми они стали.
Помимо установки исправлений и смягчающих мер, он посоветовал защитникам предполагать, что произошла утечка, искать опубликованные индикаторы компрометации (IOC), регулярно проверять журналы безопасности сети и конечных точек, а также сегментировать сети для уменьшения радиуса поражения. «Инструменты безопасности не являются автоматически безопасными, поэтому защищайте защитников», — сказал он.
И, как отметил Диксон, PHP2Shell будет продолжать появляться, поскольку PHP лежит в основе большого количества веб-программного обеспечения, включая порталы, прикрепленные к устройствам безопасности, поэтому он всегда должен быть в поле зрения защитников.
Плоскость управления — ключевая цель
Check Point — не единственная жертва злоумышленников. Управление межсетевыми экранами стало излюбленной целью атакующих во всей отрасли.
Например, в январе Fortinet сообщила, что злоумышленники использовали ее единый вход (SSO) FortiCloud для входа в устройства FortiGate и FortiManager других клиентов и создания учетных записей администратора. В июле и сентябре CISA добавила уязвимости сервера управления Check Point в свой каталог эксплуатируемых уязвимостей.
В том же месяце агентство также добавило уязвимость Cisco Secure Firewall Management Center с идеальным рейтингом серьезности 10,0, которая предоставляет неаутентифицированному злоумышленнику доступ root. А в октябре Palo Alto Networks предупредила об атаках на интерфейс управления PAN-OS, опять же с «root на межсетевом экране в качестве приза».
«Логика проста, — сказал Диксон: — Плоскость управления содержит свод правил для всей сети.
Смена поставщика на того, у кого меньше уязвимостей, — это вариант, но смена поставщика означает замену одной ахиллесовой пяты на другую, указал он, поскольку у каждого поставщика есть веб-портал, а каждый веб-портал — это дверь. «Решение — меньше дверей, — посоветовал он. — Сократите интернет-периметр и поместите удаленный доступ за единую политику идентификации».
В конечном итоге, отметил он, межсетевой экран — это не стена, а компьютер, подключенный к интернету. «Злоумышленники относятся к нему именно так, — сказал он. — Команды безопасности должны защищать его как компьютер».
Всегда имейте в виду, что редакции могут придерживаться предвзятых взглядов в освещении новостей.
Автор – Taryn Plumb
