Dai gateway Check Point ai server ESXi: l’attacco cancella file
Check Point riferisce che, dal 30 ottobre 2026, attacchi ai suoi gateway sono arrivati fino agli host VMware ESXi, dove in alcune intrusioni è stato distribuito un wiper. Una seconda ondata, dal 2 novembre, ha raggiunto organizzazioni in più paesi; in questa fase non sono state osservate attività distruttive.
PHP2Shell ha fornito l’accesso iniziale. Poi una falla di autorizzazione in Gaia ha permesso a codice già presente sull’appliance di inviare comandi tramite un socket locale, senza controllare quale processo li avesse richiesti, e ottenere privilegi root. Gli attaccanti hanno stabilito accesso persistente e, in alcuni casi, raggiunto ESXi per cancellare file.
Il gateway compromesso può quindi essere il punto d’ingresso a un incidente che coinvolge anche l’hypervisor, non solo l’appliance. Check Point segnala indicatori legati alla Cina, ma l’attribuzione resta incerta.
CVSS 9.8 CRITICAL: pHP uses longjmp() for out-of-memory (OOM) errors to exit the current context and abort handling of the request. EPSS 100% (100º percentile).
Data di correzione federale CISA 29 ott · data superata
CVSS 7.8 HIGH: the Gaia OS DynamicCLI daemon runs as root and listens on a world-writable local socket (/tmp/dynamic_socket) without authenticating connecting processes.