Check Point Confirms PHP2Shell Breaches: Which Fixes to Verify

12 ноября 2026 года Check Point сообщил об успешных взломах необновлённых Security Gateway: злоумышленники использовали PHP2Shell для входа через Mobile Access, а затем отдельную локальную уязвимость для получения прав root. Если такой шлюз защищает доступ к вашей серверной инфраструктуре, передайте администратору проверку ноябрьского Jumbo Hotfix и признаков возможного прежнего проникновения. Обновление обычного PHP на сайте не заменяет исправление сетевого устройства.

В описанной цепочке первоначальный доступ обеспечивали CVE-2026-109618 и CVE-2026-109619 в PHP. Затем локальная ошибка DynamicCLI, CVE-2026-123039, позволяла повысить привилегии до root — максимальных прав в системе — и закрепиться на устройстве. Это две стадии: наличие ранее установленного PHP-исправления само по себе не подтверждает устранение новой локальной ошибки.

По данным Check Point, в наблюдавшихся инцидентах были скомпрометированы около двух десятков необновлённых систем в одном регионе. Производитель описывает активность с 30 октября по 4 ноября. Его исследование разделяет первую волну против израильских организаций, включавшую разрушительные действия в отдельных случаях, и более широкую волну попыток со 2 ноября. Попытки в нескольких странах не означают подтверждённый успешный взлом всех этих организаций. Новым поводом стало раскрытие 12 ноября, а не начало атак сегодня.

В сообщении CheckMates производитель указывает для CVE-2026-123039 Management, Multi-Domain, Log Servers и Security Gateway версий от R80.30 до R82.20. В таблице ниже — только четыре ветки, для которых мы проверили официальные примечания к накопительным исправлениям, выпущенным 12 ноября. Каждый из перечисленных пакетов содержит исправления обеих PHP-уязвимостей и CVE-2026-123039.

Take — номер выпуска накопительного исправления внутри своей ветки. Take 174 для R81.20 нельзя сравнивать с Take 14 для R82.20 как «новее» или «старее». Это также не номер сборки SmartConsole. Отсутствие старой ветки в таблице не означает её безопасность: применимый пакет или поддерживаемый путь обновления нужно уточнить у Check Point.

Для Spark действует отдельная процедура: CheckMates сообщает, что эти устройства не затронуты новой ошибкой DynamicCLI, но затронуты PHP2Shell. Производитель рекомендует актуальный GA-выпуск Spark по своей инструкции. Четыре пакета в таблице предназначены для веток R81.20, R82, R82.10 и R82.20. Эти пакеты нельзя применять к устройствам Spark. Точную исправленную сборку Spark для своей модели администратор должен подтвердить по уведомлению поставщика.

• Составить перечень устройств и узлов управления: роль, модель, ветка, установленный Jumbo Hotfix; отдельно определить доступные из интернета Mobile Access. Их Check Point рекомендует обновлять в первую очередь.
• Подобрать пакет именно для своей ветки и платформы. Проверить статус доступности пакета и критические примечания поставщика, подготовить резервную копию, окно работ и порядок восстановления. Нельзя автоматически считать любой новый Take рекомендованным для всех конфигураций.
• После работ подтвердить фактически установленный Jumbo Hotfix на каждом узле, затем проверить доступ к управлению и используемые VPN-сценарии. Обновлённая консоль управления сама по себе не доказывает обновление всех шлюзов.
• Отдельно оценить признаки возможного прежнего взлома. До очистки или перезаписи сохранить доступные журналы и сведения о подозрительных файлах и процессах; при подозрениях привлечь специалиста по реагированию.

Производитель подчёркивает: отсутствие совпадений с опубликованными индикаторами не исключает компрометацию, а совпадение требует расследования. Патч закрывает уязвимость, но не подтверждает удаление уже установленного злоумышленником доступа. Если исправление пока невозможно, согласуйте временные меры с поддержкой Check Point: универсальное отключение служб или изменение сетевых правил без оценки последствий может нарушить управление и доступ сотрудников.

Сведения проверены 13 ноября 2026 года, 18:05 МСК. Полный масштаб кампании и уверенная атрибуция атакующего не установлены. Материал не подтверждает состояние конкретного шлюза или инфраструктуры General iT.

On November 12, 2026, Check Point reported successful breaches of unpatched Security Gateways. Attackers used PHP2Shell to gain access through Mobile Access, then exploited a separate local vulnerability to obtain root privileges. If such a gateway protects access to your server infrastructure, instruct your administrator to verify the November Jumbo Hotfix and check for signs of a prior intrusion. Updating standard PHP on a website does not replace the fix required for the network device.

In the described chain, initial access was enabled by CVE-2026-109618 and CVE-2026-109619 in PHP. Subsequently, a local DynamicCLI error, CVE-2026-123039, allowed privilege escalation to root—the highest system rights—enabling persistence on the device. These are two distinct stages: the presence of a previously installed PHP patch alone does not confirm that the new local vulnerability has been remediated.

According to Check Point, about two dozen unpatched systems in one region were compromised in the observed incidents. The vendor describes the activity from October 30 to November 4. Its investigation distinguishes the first wave targeting Israeli organizations, which included destructive actions in some cases, from a broader wave of attempts starting November 2. Attempts in several countries do not confirm successful breaches of all these organizations. The new disclosure occurred on November 12, not the start of the attacks today.

In the CheckMates advisory, the vendor specifies CVE-2026-123039 for Management, Multi-Domain, Log Servers, and Security Gateway versions from R80.30 to R82.20. The table below lists only four branches for which we verified official notes on cumulative patches released on November 12. Each of the listed packages contains fixes for both PHP vulnerabilities and CVE-2026-123039.

Take is the release number of the cumulative patch within its branch. Take 174 for R81.20 cannot be compared to Take 14 for R82.20 as newer or older. This is also not a SmartConsole build number. The absence of an older branch in the table does not mean it is secure: you must clarify the applicable package or supported update path with Check Point.

A separate procedure applies to Spark: CheckMates reports that these devices are not affected by the new DynamicCLI vulnerability but are affected by PHP2Shell. The vendor recommends applying the latest GA release of Spark according to its instructions. The four packages in the table are intended for the R81.20, R82, R82.10, and R82.20 branches. These packages must not be applied to Spark devices. The administrator must confirm the exact fixed Spark build for their specific model via the vendor notification.

• Compile a list of devices and management nodes: role, model, branch, installed Jumbo Hotfix; separately identify Mobile Access accessible from the internet. Check Point recommends updating these first.
• Select a package specifically for your branch and platform. Check the package availability status and critical vendor notes, prepare a backup, define the maintenance window, and establish a recovery procedure. Do not automatically assume any new Take is recommended for all configurations.
• After the work, confirm the actually installed Jumbo Hotfix on each node, then verify management access and used VPN scenarios. An updated management console alone does not prove that all gateways have been updated.
• Separately assess signs of a potential prior breach. Before cleaning or overwriting, preserve available logs and information on suspicious files and processes; if suspicions arise, engage a response specialist.

The vendor emphasizes: absence of matches with published indicators does not rule out compromise, while a match requires investigation. The patch closes the vulnerability but does not confirm removal of access already established by an attacker. If remediation is not yet possible, coordinate temporary measures with Check Point support: universal service disabling or changing network rules without assessing consequences can disrupt management and employee access.

Information verified on November 13, 2026, at 18:05 MSK. The full scale of the campaign and the attacker's attribution remain unconfirmed. The material does not confirm the status of a specific gateway or General iT infrastructure.