Pelaku ancaman yang belum teridentifikasi terpantau menargetkan perangkat Check Point Security Gateway yang belum diperbarui. Mereka memanfaatkan celah keamanan PHP2Shell untuk memperoleh akses awal, kemudian mengeksploitasi kerentanan eskalasi hak akses lokal yang telah dilaporkan sebelumnya pada sistem operasi Gaia OS guna menyusupkan sebuah pintu belakang (backdoor) bernama TSGA.
Aktivitas siber yang diungkapkan secara rinci oleh Check Point ini bermula pada 30 Oktober 2026 dan menyasar sejumlah organisasi di Israel. Gelombang serangan susulan berskala lebih luas kemudian diluncurkan pada 2 November 2026 dengan menyasar berbagai organisasi di banyak negara lintas sektor. Sejumlah instansi yang menjadi sasaran pada gelombang pertama turut menjadi korban aksi destruktif, termasuk penyebaran perangkat perusak penghapus data (wiper malware).
"PHP2Shell memberikan jalan masuk awal, yang lekas disusul oleh eskalasi hak akses melalui antarmuka DynamicCLI dengan kode pelacakan CVE-2026-123039," ungkap Check Point. "Para penyerang selanjutnya menyebarkan PHP web shell, backdoor persisten TSGA, beserta modul jaringan pendukung bawaannya yang bernama TSProxy."
"Para peretas berpindah target dari gateway ke sistem host VMware ESXi menggunakan jalur koneksi SSH, menyebarkan perangkat perusak destroy_v6 wiper, serta meninggalkan berkas catatan bernuansa politis berjudul DREAM_ANNEXATION.txt selama tahapan perusakan tersebut."
Kerentanan CVE-2026-123039 yang mengantongi skor CVSS 7.8 merupakan kelemahan otorisasi yang hilang (missing authorization). Celah keamanan ini dapat memungkinkan peningkatan hak akses hingga ke level root pada proses DynamicCLI, sehingga setiap pengguna lokal terautentikasi dapat mengeksekusi perintah acak semata-mata dengan menuliskan satu permintaan tunggal ke socket.
"Masalah ini tergolong eskalasi hak akses lokal dan mengharuskan peretas untuk terlebih dahulu memiliki kemampuan eksekusi kode lokal pada perangkat," jelas pihak Check Point. Perusahaan menambahkan bahwa pihaknya "mengamati adanya eksploitasi aktif atas kerentanan ini terhadap beberapa lusin pelanggan."
Masalah keamanan tersebut memengaruhi lini produk versi R82.20, R82.10, R82, R81.20, R81.10, serta R81 dari jajaran perangkat Check Point berikut ini.
"Pada akhir Oktober 2026, sekitar satu pekan setelah pembaruan keamanan resmi dirilis, aktivitas serangan yang bersumber dari alamat IP 130.94.19[.]204 menargetkan berbagai organisasi Israel melalui celah portal Mobile Access pada Check Point Security Gateway," sebut Check Point.
"Bukti-bukti yang ditemukan mengindikasikan keberhasilan peretasan pada beberapa kasus, di mana pola aktivitas eksploitasinya konsisten dengan pola PHP2Shell yang terkait erat dengan CVE-2026-109618 dan CVE-2026-109619."
Setelah berhasil mengamankan akses awal, kelompok peretas misterius tersebut dilaporkan meningkatkan hak istimewa akun layanan portal ke level root menggunakan CVE-2026-123039. Mereka lalu menanam PHP web shell guna mempertahankan akses persisten, yang mendukung kapabilitas eksekusi perintah sistem dan pengunggahan berkas secara leluasa.
Gelombang serangan 2 November 2026 dilaporkan kembali menyasar sejumlah organisasi di Israel yang sebelumnya sempat ditargetkan pada gelombang pembuka, sekaligus merambah target-target lain secara global tanpa membedakan wilayah geografis maupun bidang industri. Fakta ini mengindikasikan adanya upaya perburuan akses awal yang bersifat oportunistis.
Akses yang diperoleh melalui web shell melapangkan jalan bagi penyusupan TSGA, yaitu backdoor pasif mandiri yang dilengkapi komponen kedua berjuluk TSProxy. Program jahat TSGA, yang disamarkan sebagai slot_CPconfigdaemon, diidentifikasi sebagai implan gateway Linux dengan fungsi khusus produk Check Point. Alat ini menyuguhkan akses kendali jarak jauh terenkripsi, pencurian data konfigurasi, persistensi cadangan serta snapshot, injeksi proses, dan manipulasi catatan biner log firewall.
"Kode injeksi [milik TSProxy] memuat pustaka ini langsung ke dalam proses perangkat terpilih, tempat komponen tersebut mencegat fungsi jaringan untuk melayani lalu lintas khusus peretas sembari membiarkan arus data normal berjalan," papar Check Point. "Langkah ini menggabungkan pintu belakang mandiri persisten dengan akses rahasia terselubung via layanan resmi perangkat."
Berikut ini adalah beberapa rangkuman tindakan pasca-eksploitasi lainnya yang berhasil dipantau oleh para peneliti.
TSGA dan TSProxy sama-sama dinilai sebagai modul khusus Check Point dari perkakas bernama PhiliKit. Paket ini pertama kali didokumentasikan oleh ESET pada Juni 2026 dan diatribusikan ke kelompok spionase siber terafiliasi Tiongkok berlabel Armory Castle (sebelumnya UNC5221).
Indikator lain yang mengarah pada keterlibatan kelompok terafiliasi Tiongkok adalah penggunaan infrastruktur VPS LightNode serta pola waktu pemindaian yang terkonsentrasi antara pukul 12.00 hingga 09.00 UTC, selaras dengan jam kerja pada umumnya di Tiongkok.
Kendati demikian, pihak perusahaan keamanan siber tersebut menegaskan belum memiliki bukti memadai untuk mengaitkan operasi terbaru ini dengan aktor ancaman itu maupun kelompok spionase Tiongkok lainnya, berlandaskan sejumlah pertimbangan.
"Jika ditinjau menyeluruh, bukti yang ada belum memungkinkan kami menyimpulkan hakikat sesungguhnya dari operasi ini dengan tingkat keyakinan tinggi," tandas Check Point. "Beberapa hipotesis tetap terbuka: aktor bersangkutan mungkin menjalankan seluruh operasi secara mandiri, sekadar berperan selaku pialang akses awal, atau melancarkan operasi penyamaran bendera palsu (false-flag). Terdapat pula kemungkinan bahwa aksi perusakan data sengaja digunakan sebagai taktik pengalih perhatian semata."
