Check Point 表示，PHP2Shell 遭實際利用的攻擊中同時利用了本機權限提升漏洞 CVE-2026-123039，此漏洞位於 Gaia OS 的 Dynamic CLI 服務，CVSS 7.8，影響 Gaia R82.20、R82.10、R82 與 R81.20 [1]。Check Point 指出攻擊活動自 10 月 30 日持續至 11 月 4 日，約二十多台未修補系統遭入侵，少數案例涉及破壞性活動；SecurityWeek 報導攻擊者藉此取得 root 權限、部署 PHP webshell，並橫向移動到 VMware ESXi 主機執行抹除程式 [1][2]。現在該做什麼：Check Point 建議盡快在所有管理伺服器與安全閘道器安裝 11 月 Jumbo Hotfix，並優先升級對外的 Mobile Access 部署 [1]。
Check Point Gaia 權限提升漏洞 CVE-2026-123039 遭串接 PHP2Shell 利用，攻擊者取得閘道器 root
閱讀約 2 分鐘
- 揭露
- 2026年11月12日
- 發布
- 2026年11月13日
- 最後更新
- 2026年11月14日
- CVSS 依據
- 本站評估
- EPSS（30 天內遭利用機率）
- 1.3%，高於 70% 的漏洞
- 利用與修補狀態
- 已有修補
本頁內容
30 秒摘要
受影響範圍
| 受影響範圍 | 版本 | 修補版本 | |
|---|---|---|---|
| Check Point Software Gaia OS (Management Servers / Security Gateways) | R82.20, R82.10, R82, R81.20[1] | November Jumbo Hotfix | ✓ 已修補 |
我有用這個產品嗎？
把產品加入你的系統清單，之後有相關通報或重大進展會寄信通知你。
事件時間軸
- 攻擊活動開始[1]
- 最後一次觀察到攻擊活動[1]
- Check Point 發布資安通告[1]
- Check Point：首波攻擊針對以色列組織並部署 ESXi 抹除程式，第二波擴及多國[3]
據 BleepingComputer 報導，Check Point 表示首波利用攻擊針對以色列組織，11 月 2 日的第二波則影響多個國家與產業的企業；攻擊者植入 PHP webshell 與 TSGA 後門，並在以色列攻擊中橫向移動至 VMware ESXi 主機部署名為 destroy_v6 的資料抹除程式，留下的 DREAM_ANNEXATION.txt 說明含政治訊息並明確拒絕贖金談判。Check Point 初步將 TSGA/TSProxy 與 PhiliKit 惡意框架相連，但表示依現有證據無法有把握地歸因；第二波未見破壞性活動。報導指管理者除安裝 11 月 Jumbo Hotfix 外，應檢查曾暴露的閘道器是否有含 upload_progress_pwn 的 session 檔、異常 CPconfigdaemon 程序或二進位檔、防火牆日誌不明中斷，以及閘道器對內部 ESXi 主機的未授權 SSH 活動。
技術細節
發生什麼
Check Point 表示，PHP2Shell 遭實際利用的攻擊中，攻擊者同時利用本機權限提升漏洞 CVE-2026-123039 取得 root 權限並建立持續存取 [1]。SecurityWeek 報導，攻擊者先以 PHP2Shell 取得初始存取，再利用 DynamicCLI 程序的這個漏洞取得 root、部署 PHP webshell [2]。
漏洞與影響版本
Check Point 漏洞摘要列出 CVE-2026-123039 為 Gaia OS Dynamic CLI 服務的本機權限提升漏洞，CVSS 7.8，影響 Gaia R82.20、R82.10、R82、R81.20，並標示已遭實際利用 [1]。
攻擊活動
Check Point 指出攻擊活動可追溯至 10 月 30 日、持續至 11 月 4 日，僅單一地區約二十多台未修補系統遭入侵，少數案例涉及破壞性活動 [1]。SecurityWeek 報導攻擊者之後橫向移動到 VMware ESXi 主機並執行抹除程式 [2]。
建議措施
Check Point 建議盡快在所有管理伺服器與安全閘道器安裝 11 月 Jumbo Hotfix，並優先升級對外的 Mobile Access 部署；同時公布入侵指標供客戶調查 [1]。
參考來源
官方 / 一級來源1
- [1]Check Point Software2026-11-12擷取日 2026-11-13已存檔 2026-11-13 sha256 335cdeb65980
“Check Point is reporting active exploitation of PHP2Shell together with a local privilege escalation vulnerability (CVE-2026-123039).”
媒體報導2
- [2]SecurityWeek2026-11-13擷取日 2026-11-13已存檔 2026-11-13 sha256 204a98a68bd2
“As part of the Check Point campaign , the attackers exploited PHP2Shell for initial access, then targeted CVE-2026-123039, a local privilege escalation in the DynamicCLI process, to gain root access and deploy PHP webshells and establish persistence.”
- [3]BleepingComputer2026-11-13擷取日 2026-11-13已存檔 2026-11-14 sha256 a809ac057c68
“Cybersecurity company Check Point says that the first exploitation wave targeted Israeli organizations, while a second one on November 2 affected companies in multiple countries and sectors.”
技術諮詢
看完還不確定自己是否受影響？
告訴我們你的環境，我們協助比對這則通報、評估風險，並提供可執行的修補與監控建議。
本站內容為公開資訊整理，不構成資安顧問建議；修復步驟請先於測試環境驗證。