Check Point Cihazlarına Arka Kapı: Bazı Kurumlarda Veriler Silindi

Saldırganlar, yaması uygulanmamış Check Point Security Gateway cihazları ve Mobile Access portallarına PHP2Shell açıkları üzerinden sızarak cihazlarda root yetkisi ele geçirdi, TSGA adlı kalıcı bir arka kapı kurdu ve İsrail'deki bazı kurumlarda iç ağdaki VMware ESXi sunucularına geçerek dosyaları silen bir silici (wiper) zararlı yazılım çalıştırdı. Check Point tarafından 12 Kasım 2026 tarihinde yayımlanan güvenlik danışması ve Check Point Research teknik analizine göre, saldırılarda Mobile Access portalındaki kimlik doğrulamasız uzaktan kod çalıştırma açıkları (CVE-2026-109618 ve CVE-2026-109619) ile Gaia OS Dynamic CLI servisindeki yerel yetki yükseltme açığı (CVE-2026-123039) vahşi ortamda istismar edildi. Check Point, tek bir bölgede yaması yapılmamış «birkaç düzine» sistemin ele geçirildiğini, etkilenen müşterilerin anında bilgilendirildiğini, olay müdahale ekiplerinin sistemleri temizlemek için çalıştığını ve sınırlı sayıda vakada saldırıların yıkıcı ve ideolojik motivasyonlu olduğunu bildirdi.

Saldırı nasıl ilerledi

Saldırı zinciri, PHP'de bulunan ve Check Point ağ geçitlerini de etkileyen, CVSS puanı 9.2 olan PHP2Shell açıklarıyla Mobile Access portalına ilk erişimin sağlanmasıyla başladı. Ardından saldırganlar, CVSS puanı 7.8 olan CVE-2026-123039 açığını kullanarak Gaia OS üzerinde root yetkisine yükseldi. Yetki yükseltmesinin ardından Mobile Access giriş sayfası şablon dizinine komut çalıştırma, PHP kodu yürütme ve dosya yükleme işlevlerine sahip PHP web kabukları (zz*.tpl) yerleştirildi. Daha sonra sisteme kalıcı TSGA arka kapısı (/tmp/CPconfigdaemon; root olarak slot_CPconfigdaemon adıyla yeniden başlıyor) ve içine gömülü TSProxy ağ bileşeni (/lib/libcpfwcommon.so) kuruldu. TSGA şifreli uzaktan erişim, yapılandırma çalma, yedek ve anlık görüntüler (snapshot) üzerinden kalıcılık sağlama, süreç enjeksiyonu ve güvenlik duvarı kayıtlarını kurcalama yetenekleri sunarken; TSProxy cihaz süreçlerine enjekte olarak işaretli saldırgan bağlantılarını yakalıyor, normal trafiği ise olağan şekilde akıtıyor.

Ağ geçidinde kalıcılık sağladıktan sonra saldırganlar gogo tarayıcısı ile iç ağ keşfi gerçekleştirdi ve vpxuser hizmet hesabını kullanarak SSH üzerinden iç ağdaki VMware ESXi sunucularına geçiş yaptı. Bu sunucularda destroy_v6 adlı Linux tabanlı silici zararlı yazılım çalıştırıldı. Hedef dizindeki tüm dosyaları uzantıdan bağımsız olarak silen ve varsayılan olarak dosyaların üzerine önce sıfır yazan bu araç, her dizine DREAM_ANNEXATION.txt adlı bir not bıraktı. İbranice yazılan ve İsrail-Filistin çatışmasına atıf yapan bu siyasi notta fidye pazarlığı açıkça reddedilirken Dream Security markası kullanıldı.

İki dalga: önce İsrail, sonra birçok ülke

Vahşi ortamdaki istismar faaliyetleri 30 Ekim 2026 tarihinde başladı ve 4 Kasım'a kadar aktif olarak gözlemlendi. Operasyon iki ayrı dalga halinde yürütüldü. 30 Ekim'de başlayan ilk dalga doğrudan İsrail'deki kurumları hedef aldı ve bu hedeflerin bazılarında ESXi sunucuları üzerinde veri silme eylemleri gerçekleştirildi. 2 Kasım'daki ikinci ve daha geniş dalga ise ilk dalgada hedef alınan bazı İsrail kurumlarıyla birlikte birçok ülke ve sektörden kurumu hedef aldı; bu dalgada yıkıcı faaliyet kanıtı bulunmadı. Check Point, iki dalgada da belirgin bir sektör tercihi görülmediğini ve faaliyetin fırsatçı bir ilk erişim girişimi olarak değerlendirildiğini belirtiyor.

Hangi sürümler etkileniyor, ne yapmalı

Check Point Araştırmadan Sorumlu Başkan Yardımcısı Lotem Finkelstein imzalı blog yazısında ve teknik danışmada yer alan bilgilere göre, ilgili düzeltmeler saldırıların başlamasından bir hafta önce, 23 Ekim'de hazırdı; PHP2Shell hotfix'i o tarihten beri mevcut ve Kasım Jumbo Hotfix paketine de dahil edildi. SecurityWeek'e göre PHP projesi açıkları 21 Ekim'de kendi tarafında yamalamıştı. Daha önce CISA'nın PHP2Shell açıklarını KEV'e eklemesi ve Siber Güvenlik Başkanlığı'nın PHP açıkları için ulusal taraması haberleştirilmişti. Check Point'in yayımladığı danışma tablosunda yer alan güvenlik açıkları ve etkilenen sürümler şunlardır:

Check Point'in önerileri şöyle (Check Point Management Server daha önce de CVE-2026-93616 sıfır gün açığının aktif sömürüsüyle hedef alınmıştı):

• Tüm Management Server ve Security Gateway sistemlerine, PHP2Shell düzeltmesini de içeren Kasım Jumbo Hotfix paketi operasyonel olarak mümkün olan en kısa sürede kurulmalı.
• Yama dağıtımında internete açık Mobile Access kurulumlarına öncelik verilmeli.
• Spark Firewalls R81.10.x, R82.00.x, R77.20.x ve R80.20.x sürümleri de PHP2Shell'den etkilenenler arasında (sk1000302).

Ele geçirildiğinizi nasıl anlarsınız

Sistem yöneticilerinin cihazlarında sızma olup olmadığını tespit etmek için aşağıdaki tehlike göstergelerini (IoC) kontrol etmesi öneriliyor. Ancak bu göstergelerle eşleşme bulunmaması cihazın tamamen güvende olduğu anlamına gelmiyor:

• PHP oturum dosyaları: Sistemde upload_progress_pwn dizesini içeren PHP oturum dosyalarının varlığı.
• Sahte süreç ve dosyalar: CPconfigdaemon adıyla resmi bir Check Point bileşenini taklit eden şüpheli süreç veya dosyalar.
• Geçici dizin araçları: /tmp veya /temp dizinleri altında scanner ya da wiper adını taşıyan yürütülebilir araçlar.
• Sistem notları: Dizinlerde ödeme talebi içermeyen «Dream Annexation» (DREAM_ANNEXATION.txt) metin dosyaları.
• Kayıt boşlukları: Özellikle log servisi çöktükten sonra güvenlik duvarı trafik kayıtlarında (log) ortaya çıkan açıklanamayan zaman boşlukları.
• Tarama IP adresleri (Check Point Research): Ağ günlüklerinde 130.94.19[.]204 ve 130.94.19[.]168 IP adreslerinden gelen tarama trafiği.

Saldırının arkasında kim var

Saldırıda kullanılan TSGA ve TSProxy bileşenleri, daha önce Ivanti VPN saldırılarında gözlemlenen PhiliKit çerçevesinin Check Point cihazlarına uyarlanmış özel varyantları olarak tanımlandı. ESET daha önce PhiliKit çerçevesini Çin bağlantılı UNC5221 tehdit grubuyla ilişkilendirmişti. Ayrıca saldırıda kullanılan LightNode VPS altyapısı ve Çin mesai saatlerine denk gelen tarama faaliyetleri de Çin bağlantısına işaret eden bulgular arasında yer alıyor.

Buna karşın Check Point, saldırganların kimliği konusunda yüksek güvenle bir atıf yapmaktan kaçınıyor. Araştırmacılar, yıkıcı veri silme operasyonlarının ve doğrudan İsrail odağının bilinen Çin bağlantılı grupların alışılmış davranışlarıyla uyuşmadığına dikkat çekiyor. Olası senaryolar arasında tüm aşamaların aynı aktör tarafından yürütülmesi, erişimin başka bir aktöre devredildiği bir ilk erişim simsarı faaliyeti, sahte bayrak operasyonu ya da veri silme eyleminin asıl amacı gizleyen bir sis perdesi olması yer alıyor. Öte yandan, notlarda adı geçen Dream Security şirketinin kısa süre önce Palo Alto cihazlarında Çin bağlantılı PHP2Shell istismarını yayımlamış olması nedeniyle bir misilleme ihtimali de değerlendiriliyor; ancak bu motif kanıtlanmış değil.

Bilinmeyenler

Saldırı kampanyasına ilişkin teknik detaylar paylaşılmasına rağmen ele geçirilen kurumların isimleri, İsrail dışında hedef alınan diğer ülkelerin hangileri olduğu, Türkiye'de etkilenen herhangi bir kurum bulunup bulunmadığı ve sunuculardan silinen toplam veri miktarı henüz bilinmiyor. Ayrıca, bu saldırılarda aktif olarak kullanılan yerel yetki yükseltme açığı CVE-2026-123039, 13 Kasım 2026 itibarıyla CISA'nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda yer almıyor; PHP2Shell açıkları ise katalogda.

Kaynaklar

• Check Point güvenlik danışması
• Check Point Research teknik analizi
• SecurityWeek
• The Hacker News

Kapak görseli: Avi1111 dr. avishai teicher / Wikimedia Commons, CC BY-SA 4.0 (Check Point genel merkezi, Tel Aviv; kırpıldı, 1200x675).