根據這一篇 Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper ，Check Point 安全閘道遭 PHP2Shell 攻擊後，進一步在 VMware ESXi 主機上部署抹除型惡意程式。研究人員記錄到攻擊者把多個漏洞串成鏈，從邊界設備一路打進虛擬化底層，且修補原始漏洞未必能清掉已植入的後門。
Check Point 是誰，這件事為何值得關注
Check Point（Check Point Software Technologies）是 1993 年在以色列創立的資安廠商，由 Gil Shwed、Marius Nacht 與 Shlomo Kramer 共同創辦，總部位於特拉維夫，在美國 Nasdaq 掛牌（代號 CHKP）。早年推出的 FireWall-1 把狀態檢測（stateful inspection）帶進商用防火牆，奠定現代防火牆的基本架構。如今旗下 Quantum 系列安全閘道與 Gaia 作業系統廣泛部署在政府、金融與大型企業的網路邊界，與 Palo Alto Networks、Fortinet、Cisco 同屬全球主要防火牆供應商，旗下的 Check Point Research 也是業界常被引用的威脅情資團隊。
這次事件的意義在於，被當成入口的不是一般伺服器，而是企業花錢買來擋攻擊的資安閘道本身。邊界設備天生直接面對網際網路，又握有內網路由與 VPN 連線的高權限，設備上通常無法安裝端點偵測工具，日誌也較少被集中監看，一旦失守，攻擊者就能從防線內側往裡走。近兩年 Ivanti、Fortinet、Palo Alto Networks、Citrix 的邊界產品接連成為攻擊起點，這起事件再次印證同一個趨勢。Check Point 自己也不是第一次在這個位置出事，2024 年的 CVE-2024-24919 同樣出在 Remote Access VPN 與 Mobile Access 相關功能，當時也被列入 CISA 已遭利用漏洞清單。
第二層意義是供應鏈。PHP2Shell 是上游 PHP 本身的缺陷，凡是在網頁入口或管理介面中內嵌 PHP 的產品都可能受波及，NVD 目前列出的受影響產品已涵蓋 Palo Alto Networks 與 Siemens，NVD 的產品清單並未列出 Check Point，代表管理者不能只靠 NVD 判斷自家設備是否受影響，必須以各廠商的公告為準。
Check Point 已在官方公告 sk1000362 證實提權漏洞 CVE-2026-123039 遭到實際利用，受害客戶約「二十多家」。受影響版本涵蓋 R81 到 R82.20，修補收錄於 Jumbo Hotfix Accumulator：R82.20 Take 14、R82.10 Take 52、R82 Take 132、R81.20 Take 174 起。R81.10 與 R81 已結束支援、不會有修補，仍在使用的單位只能升級到受支援版本。至於攻擊最初鎖定以色列組織，而 Check Point 本身也是以色列企業，兩者之間是否有關聯，目前沒有公開證據，歸因仍待調查。
攻擊鏈從 Mobile Access 入口開始
根據研究記錄，攻擊自 10 月 30 日開始，駭客透過有弱點的 Mobile Access 閘道，利用 PHP2Shell 相關漏洞 CVE-2026-109618 與 CVE-2026-109619 取得切入點。這兩個編號在已核實資料中均為 CRITICAL 等級，CVSS 分別是 9.8 與 9.2，問題本質都指向 PHP 在記憶體回收與全域狀態處理上的缺陷，最終可導致遠端程式碼執行。換句話說，入口不是什麼冷門元件，而是許多組織放在網路邊界、直接面對外部流量的入口服務。
再打零日漏洞取得 root，橫向進入 ESXi
取得初步存取權後，攻擊者接著利用另一個漏洞 CVE-2026-123039 提升權限。已核實資料顯示這個編號為 HIGH 等級、CVSS 7.8，成因是 Gaia OS 的 DynamicCLI 常駐程式以 root 身分執行，卻在一個任何人可寫的本機 socket 上監聽，且未對連線行程進行驗證，因此已通過驗證的本機使用者可送指令進去並以 root 執行。攻擊者藉此拿到 root、安裝後門，再移動到 VMware ESXi 系統，部分事件中更部署了會刪除伺服器資料的破壞性惡意程式。
影響範圍與歸因仍未定
受影響組織包含以色列及其他國家，但攻擊歸因仍不確定。報告中有提到，這波 PHP2Shell 攻擊最初是針對以色列的組織。值得注意的是，CVE-2026-123039 在已核實資料中的受影響產品欄位標示為未列於 NVD 設定，讀者可對照文末附表，確認各編號的嚴重度與受影響產品資訊。
修補與緩解的現實難題
這起事件最容易被誤解的地方，是把補漏洞等同於事件結束。討論內文明確點出，修好最初的 PHP 漏洞，並不會自動移除入侵後才裝上的後門。實務上的順序應該是先確認邊界設備是否已更新到含修補的版本，再檢查主機上是否存在異常帳號、異常服務或殘留的後門程式，最後才處理 ESXi 端的資料保護與備份驗證。
若只做前者，攻擊者留下的立足點仍可能繼續運作。
社群反應集中在修補優先順序與管理介面暴露
社群反應相當直接，有網友表示，這起事件說明重大漏洞的修補一旦釋出就必須盡快套用，並且要把邊界設備排在優先位置，該網友提到自家在 PA 修補釋出後隔天就安排了防火牆修補。另一位網友則把問題指向管理介面，認為大家應該停止把管理介面直接暴露在網際網路上。也有網友反駁，每次提到這件事，總會有許多人跳出來說偏遠站點在緊急情況下暴露管理介面是合理用法，其實大家對於方便與縮小攻擊面之間的取捨仍有爭論。
CyberQ 觀點
企業應把邊界閘道與防火牆的修補列為最高優先，並在修補後額外清查後門與異常帳號，不要假設更新完成就等於乾淨。管理介面盡量收斂來源 IP 或改走內部通道，ESXi 主機則要確認備份可還原，因為這波攻擊出現過直接刪資料的案例。使用者端則留意自家對外服務背後的 PHP 元件版本與修補狀態。
CVE 漏洞資料
以下資料於撰文時直接查詢 NIST NVD 2.0 API（必要時輔以 CVE.org 鏡像）取得，編號來自討論串或原始報導所引用：
| CVE 編號 | CVSS 分數／嚴重度 | 公佈時間（UTC） | 受影響廠商／產品 | 弱點類型 | 官方摘要（原文節錄） | 參考連結 |
|---|---|---|---|---|---|---|
| CVE-2026-109618 | 9.8（CRITICAL） | 2026-10-21T14:17:09 | php / php、siemens / ruggedcom ape1808 firmware、siemens / ruggedcom ape1808、paloaltonetworks / pan-os、paloaltonetworks / panorama m-200、paloaltonetworks / panorama m-300 | CWE-1325、CWE-416、CWE-755、CWE-824 | PHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. Some contexts may not properly account for this scenario and leave request memory in an uninitialized state before performing an allocation. The subsequent request cleanup procedure may read or branch on this memory. Multiple OOM strategies can consistently trigger this condition and lead to remote code ex | https://github.com/php/php-src/security/advisories/GHSA-w8hw-w9fx-j79w http://seclists.org/fulldisclosure/2026/Oct/51 http://www.openwall.com/lists/oss-security/2026/10/21/6 |
| CVE-2026-109619 | 9.2（CRITICAL） | 2026-10-21T14:17:09 | php / php、siemens / ruggedcom ape1808 firmware、siemens / ruggedcom ape1808、paloaltonetworks / pan-os、paloaltonetworks / panorama m-200、paloaltonetworks / panorama m-300 | CWE-1325、CWE-416、CWE-755、CWE-824 | PHP has various global state that temporarily points into request memory. In some scenarios, global state may not be correctly reset, or may be repopulated after being reset. The global state may then refer to request memory even after it has been freed. Subsequent requests may read or branch on this stale state before it is fully initialized. Multiple strategies can trigger this condition and produce remote code exe | https://github.com/php/php-src/security/advisories/GHSA-6wmf-4rv5-p3rp http://www.openwall.com/lists/oss-security/2026/10/21/16 http://www.openwall.com/lists/oss-security/2026/10/21/17 |
| CVE-2026-123039 | 7.8（HIGH） | 2026-11-12T14:17:24 | NVD 未列；依廠商公告為 checkpoint / gaia os（sk1000362） | CWE-732、CWE-862 | The Gaia OS DynamicCLI daemon runs as root and listens on a world-writable local socket (/tmp/dynamic_socket) without authenticating connecting processes. An authenticated local user can send a command to the socket and have it executed as root. | https://support.checkpoint.com/results/sk/sk1000362 https://www.cisa.gov/known-exploited-vulnerabilities-catalog?field_cve |
資料來源：NIST NVD（services.nvd.nist.gov）、CVE.org。CVSS 分數與嚴重度以官方紀錄為準，若廠商另行公布不同評分，以廠商公告為準。
