PHP2Shell Check Point Dieksploitasi: Backdoor TSGA dan Wiper ESXi Terungkap

Aktor ancaman tak dikenal menargetkan Check Point Security Gateway yang belum ditambal dengan memanfaatkan kerentanan PHP2Shell untuk mendapatkan akses awal, lalu meningkatkan hak akses lewat celah di Gaia OS dan menyebarkan backdoor TSGA. Sebagian serangan berujung pada penghapusan data di host VMware ESXi.

Kronologi Serangan: Dari Portal Mobile Access ke Wiper ESXi

Check Point mengungkap bahwa aktivitas pertama terdeteksi pada 30 Oktober 2026. Serangan itu menyasar organisasi di Israel melalui portal Mobile Access yang rentan pada Check Point Security Gateway. Indikasi keberhasilan kompromi muncul, dengan pola eksploitasi yang konsisten dengan PHP2Shell, yakni CVE-2026-109618 dan CVE-2026-109619.

“Pada akhir Oktober 2026, sekitar satu minggu setelah perbaikan keamanan tersedia, aktivitas yang berasal dari 130.94.19[.]204 menargetkan organisasi Israel melalui portal Mobile Access yang rentan,” ujar Check Point dalam laporannya.

Gelombang kedua terjadi pada 2 November 2026. Kali ini sasarannya lebih luas: organisasi di berbagai negara dan sektor, tanpa preferensi geografis atau industri tertentu. Check Point menilai gelombang kedua ini sebagai upaya akses awal yang oportunistik. Beberapa organisasi Israel yang sudah menjadi korban pada gelombang pertama kembali diserang.

Setelah mendapatkan akses awal, pelaku meningkatkan hak akses dari akun layanan portal menjadi root. Caranya dengan memanfaatkan CVE-2026-123039, celah eskalasi hak akses lokal di proses DynamicCLI. Pelaku kemudian menanam web shell PHP yang mendukung eksekusi perintah dan unggah berkas, lalu memasang backdoor TSGA yang persisten.

Dari gateway, pelaku bergerak lateral ke host VMware ESXi melalui SSH. Mereka mengautentikasi dengan akun layanan vpxuser, menyiapkan wiper Linux bernama destroy_v6, dan menjalankannya. Wiper itu menelusuri direktori target secara rekursif, menghapus semua berkas tanpa memandang ekstensi, dan menimpa berkas dengan nol sebelum dihapus. Di setiap direktori yang diproses, pelaku meninggalkan catatan bernama DREAM_ANNEXATION.txt.

Pihak yang Terlibat dan Pernyataan Check Point

Check Point menjadi pihak utama yang mempublikasikan temuan ini. Perusahaan keamanan itu menyebut telah mengamati eksploitasi aktif CVE-2026-123039 terhadap “beberapa lusin pelanggan.” Mereka juga menegaskan bahwa celah tersebut adalah eskalasi hak akses lokal yang memerlukan eksekusi kode di perangkat terlebih dahulu.

“PHP2Shell memberikan akses awal, diikuti eskalasi hak akses melalui antarmuka DynamicCLI, yang dilacak sebagai CVE-2026-123039,” kata Check Point. “Penyerang kemudian menyebarkan web shell PHP, backdoor TSGA yang persisten, dan komponen jaringan TSProxy yang tertanam di dalamnya.”

Check Point juga menjelaskan mekanisme TSProxy. “Kode injeksi memuat pustaka ini ke proses peralatan tertentu, tempat ia mencegat fungsi jaringan untuk menangani koneksi penyerang yang ditandai secara khusus sambil membiarkan lalu lintas biasa terus berjalan,” ujarnya. “Ini menggabungkan backdoor mandiri yang persisten dengan akses tersembunyi melalui layanan peralatan yang ada.”

Selain itu, Check Point merinci produk yang terdampak CVE-2026-123039: Check Point Force Firewalls, Check Point Management and Log Servers, Multi-Domain Security Management dan Multi-Domain Log Server, serta Maestro Orchestrator. Versi yang rentan meliputi R82.20, R82.10, R82, R81.20, R81.10, dan R81.

Meski ada indikasi keterkaitan dengan kelompok siber berbasis China, Check Point belum menyimpulkan demikian. “Secara keseluruhan, bukti yang ada tidak memungkinkan kami menilai dengan keyakinan tinggi sifat sebenarnya dari operasi ini,” tegas perusahaan. Mereka mempertimbangkan beberapa skenario: aktor yang sama menjalankan seluruh kampanye, bertindak hanya sebagai broker akses awal, atau terlibat dalam operasi bendera palsu.

Latar Belakang Kerentanan dan Kaitan dengan PhiliKit

CVE-2026-123039 memiliki skor CVSS 7.8. Celah ini adalah masalah otorisasi yang hilang pada proses DynamicCLI, memungkinkan pengguna lokal terautentikasi menjalankan perintah arbitrer hanya dengan menulis satu permintaan ke soket. Check Point menekankan bahwa eksploitasi memerlukan akses lokal terlebih dahulu, sehingga PHP2Shell menjadi pintu masuknya.

PHP2Shell sendiri terdiri dari dua kerentanan, CVE-2026-109618 dan CVE-2026-109619, yang memungkinkan penyerang mengeksekusi kode dari jarak jauh melalui portal Mobile Access. Kombinasi keduanya memberi jalan bagi pelaku untuk menanam web shell dan mengeskalasi hak akses.

Backdoor TSGA dan TSProxy dinilai sebagai komponen spesifik Check Point dari toolkit bernama PhiliKit. Toolkit ini pertama kali didokumentasikan oleh ESET pada Juni 2026 dan dikaitkan dengan kelompok spionase siber berbasis China yang dilacak sebagai Armory Castle, sebelumnya dikenal sebagai UNC5221.

Beberapa faktor lain yang mengarah ke aktor terkait China adalah penggunaan infrastruktur VPS LightNode dan aktivitas pemindaian yang terkonsentrasi antara pukul 12.00 dan 09.00 UTC, bertepatan dengan jam kerja di China. Namun Check Point tidak memiliki cukup bukti untuk menghubungkan kampanye ini dengan aktor tersebut atau kelompok lain yang terkait China.

Alasannya, menurut Check Point, adalah penggunaan malware wiper dan fokus pada Israel serta referensi eksplisit terhadap konflik Israel-Palestina dalam catatan wiper. Kedua hal itu tidak lazim bagi kelompok spionase yang biasanya menghindari tindakan destruktif yang menarik perhatian.

Dampak Serangan dan Korban yang Terdampak

Dampak paling terlihat adalah penghapusan data di host ESXi. Wiper destroy_v6 tidak hanya menghapus berkas, tetapi juga menimpa dengan nol sebelum penghapusan, sehingga upaya pemulihan data menjadi sangat sulit. Tindakan ini menghancurkan data secara permanen dan dapat melumpuhkan operasi organisasi yang bergantung pada infrastruktur virtual VMware.

Selain itu, backdoor TSGA memberikan kemampuan akses jarak jauh terenkripsi, pencurian konfigurasi, persistensi melalui cadangan dan snapshot, injeksi proses, serta manipulasi log firewall biner. Dengan kemampuan itu, penyerang dapat bertahan lama di jaringan korban dan menghapus jejak.

Check Point menyebut bahwa beberapa organisasi yang menjadi target gelombang pertama juga mengalami tindakan destruktif. Namun perusahaan tidak merinci jumlah korban atau nama organisasi yang terdampak. Yang jelas, serangan ini menyasar infrastruktur keamanan yang seharusnya menjadi garis pertahanan utama.

Dalam tahap pasca-eksploitasi, pelaku juga menjalankan pemindai gogo di gateway untuk menemukan aset dan layanan internal di seluruh jaringan. Dari situ mereka bergerak lateral ke host ESXi. Pola ini menunjukkan perencanaan yang matang dan tujuan yang lebih dari sekadar akses awal.

Hingga berita ini diturunkan, belum ada konfirmasi resmi mengenai jumlah organisasi yang terkena dampak gelombang kedua. Namun perluasan target ke berbagai negara dan sektor mengindikasikan bahwa kampanye ini masih berlangsung dan bersifat oportunistik.

Langkah Selanjutnya: Patch dan Deteksi Dini

Check Point telah merilis perbaikan untuk CVE-2026-123039 dan kerentanan PHP2Shell. Perusahaan menekankan pentingnya segera menerapkan patch pada produk yang terdampak, terutama yang menggunakan portal Mobile Access. Keterlambatan menambal menjadi faktor kunci keberhasilan serangan gelombang pertama.

Organisasi juga disarankan memeriksa tanda-tanda kompromi, seperti keberadaan web shell PHP, berkas slot_CPconfigdaemon yang mencurigakan, atau catatan DREAM_ANNEXATION.txt di direktori. Log firewall dan aktivitas SSH dari akun vpxuser perlu diaudit, terutama jika ada koneksi tidak wajar ke host ESXi.

Check Point merekomendasikan pemantauan lalu lintas keluar yang mencurigakan dan pembatasan akses ke antarmuka manajemen. Segmentasi jaringan antara gateway keamanan dan infrastruktur virtual juga dapat mengurangi risiko pergerakan lateral.

Selain itu, organisasi perlu memastikan akun layanan seperti vpxuser tidak menggunakan kredensial default atau kata sandi lemah. Rotasi kredensial dan penerapan autentikasi multifaktor pada akses SSH ke host ESXi akan mempersulit penyerang.

“Beberapa skenario masih mungkin terjadi: aktor yang teridentifikasi menjalankan seluruh kampanye, bertindak hanya sebagai broker akses awal, atau mengambil bagian dalam operasi bendera palsu. Mungkin juga aktivitas destruktif itu berfungsi sebagai tabir asap,” kata Check Point, mengingatkan bahwa atribusi masih abu-abu.

Bagi organisasi di Indonesia, peringatan ini relevan. Penggunaan Check Point Security Gateway dan VMware ESXi cukup umum di sektor keuangan, telekomunikasi, dan pemerintahan. Penambalan cepat dan pemantauan berkelanjutan menjadi kunci untuk mencegah serangan serupa.

Analisis Redaksi

Serangan ini menunjukkan bahwa infrastruktur keamanan justru bisa menjadi titik lemah. Check Point Security Gateway dirancang sebagai garda terdepan, tetapi kerentanan pada portal Mobile Access dan proses DynamicCLI membuka pintu bagi penyerang. Ironisnya, pelaku memanfaatkan fitur manajemen yang seharusnya memudahkan administrator untuk mengambil kendali penuh atas perangkat.

Kombinasi PHP2Shell dan CVE-2026-123039 memperlihatkan pola eksploitasi berlapis yang efisien. Dalam hitungan hari setelah patch tersedia, penyerang sudah bergerak. Ini menegaskan bahwa jendela waktu antara rilis patch dan penerapan di lapangan masih terlalu lebar. Organisasi yang menunda pembaruan memberi ruang bagi aktor ancaman untuk menyempurnakan serangan.

Yang lebih mengkhawatirkan adalah penggunaan wiper destroy_v6 dan catatan DREAM_ANNEXATION.txt. Aksi destruktif dengan pesan politik menambah dimensi baru: serangan siber tidak lagi sekadar spionase atau pencurian data, tetapi juga operasi psywar. Check Point sendiri belum berani menyimpulkan apakah ini operasi bendera palsu atau bagian dari kampanye yang lebih besar. Keraguan itu wajar, tetapi bagi korban, dampaknya sama: data hilang dan operasi terhenti.

Pelajaran bagi organisasi di Indonesia adalah jangan menganggap remeh patch. Terapkan pertahanan berlapis, audit akses SSH ke ESXi, dan pantau anomali pada perangkat keamanan. Jangan sampai alat yang seharusnya melindungi justru menjadi pintu masuk bagi penyerang.

Sumber: thehackernews.com, checkpoint.com