Check Point Gaia 權限提升漏洞 CVE-2026-123039 遭串接 PHP2Shell 利用，攻擊者取得閘道器 root

據 BleepingComputer 報導，Check Point 表示首波利用攻擊針對以色列組織，11 月 2 日的第二波則影響多個國家與產業的企業；攻擊者植入 PHP webshell 與 TSGA 後門，並在以色列攻擊中橫向移動至 VMware ESXi 主機部署名為 destroy_v6 的資料抹除程式，留下的 DREAM_ANNEXATION.txt 說明含政治訊息並明確拒絕贖金談判。Check Point 初步將 TSGA/TSProxy 與 PhiliKit 惡意框架相連，但表示依現有證據無法有把握地歸因；第二波未見破壞性活動。報導指管理者除安裝 11 月 Jumbo Hotfix 外，應檢查曾暴露的閘道器是否有含 upload_progress_pwn 的 session 檔、異常 CPconfigdaemon 程序或二進位檔、防火牆日誌不明中斷，以及閘道器對內部 ESXi 主機的未授權 SSH 活動。

“As part of the Check Point campaign , the attackers exploited PHP2Shell for initial access, then targeted CVE-2026-123039, a local privilege escalation in the DynamicCLI process, to gain root access and deploy PHP webshells and establish persistence.”

Trezor 表示，在已檢查的裝置中有三台向 CryptoBilis 購買的 Trezor Safe 5 含有植入物，均於 2026 年 8 月 20 日至 9 月 23 日間經 CryptoBilis 的 Tokopedia、Shopee 商店或直接向其購買，其他經銷商與其他型號的裝置未發現遭竄改 。