Check Point gateway'lerine yönelik yıkıcı saldırılar PHP2Shell ile CVE-2026-123039 root yükseltmesini zincirliyor

Check Point gateway'lerini hedef alan yıkıcı zincir

Satyam Rastogi tarafından dev.to'da yayımlanan ve ilk olarak satyamrastogi.com'da yer alan bir güvenlik analizi, Check Point Security Gateway cihazlarına yönelik iki aşamalı ihrale dayanan yıkıcı saldırıları ele alıyor. Yazıya göre saldırganlar önce web'e açık gateway bileşenlerine PHP2Shell adı verilen bir PHP web shell'i yerleştirdi, ardından root'a yükselmek için CVE-2026-123039'u istismar etti. Birleşen sonuç, çevre güvenlik cihazları üzerinde tam kontrol ve korunan ağların içinde yatay hareket ile veri sızdırmaya giden yolun açılması oldu.

Birinci aşama: İlk erişim için web shell

PHP2Shell, ele geçirilen sunucularda ve gateway cihazlarında PHP çalıştırmayı suistimal eden bir web shell olarak tanımlanıyor. Analiz ilk ayak izine giden üç olası yolu ortaya koyuyor: internete açık yönetim arayüzleri (Check Point WebUI veya SmartDashboard gibi), yönetim panellerindeki ve bizzat savunmasız olan PHP tabanlı bileşenler ile yeterli girdi doğrulaması olmayan yapılandırma uçları (endpoint). Teknik, standart web shell deseni olan MITRE ATT&CK T1505.003 ile eşleşiyor. Yerleştirildikten sonra shell, saldırganın gateway'in kullanıcı bağlamında (genellikle admin ya da daemon hesabı) komut çalıştırmasını ve bir reverse TCP bağlantısı ya da izleyen HTTP istekleri aracılığıyla kalıcılığını sağlamasını olanaklı kıldı.

İkinci aşama: Root için CVE-2026-123039

Saldırganlar bu ayak izinden yola çıkarak süreci UID 0'a yükseltmek için reportedly CVE-2026-123039'u tetikledi. Kaynak, ayrıntılı CVE bilgisinin henüz mevcut olmadığını açıkça belirtiyor ve doğrulanmış mekanizmalar yerine aday mekanizmalar öneriyor: bir kernel yarış durumu (race condition) veya use-after-free hatası, Check Point daemon süreçlerinde güvensiz ayrıcalık ayrımı ya da gateway başlatılması sırasında dosya tanımlayıcı (file descriptor) kalıtımı sorunları. Gerçek mekanizmaya bağlı olarak yükseltme, erişim token manipülasyonu veya yükseltme kontrolü suistimalini kapsayan ATT&CK teknikleriyle eşleşecektir. Root ele geçirildiğinde saldırgan kernel modülleri yükleyebilir, paket filtrelemeyi atlayabilir ve denetim kayıtlarını yeniden yazabilir.

İzinsiz girişten sonra yıkım

Saldırı sonrası davranış kasıtlı olarak yıkıcıydı. Analiz, olası eylemler arasında güvenlik duvarı kurallarını silme veya bozma yoluyla zorlamayı sessizce durdurmayı, log ve denetim izlerini silmeyi, şifreli yedekleri bozmayı, yapılandırmaları güvensiz durumlara geri döndürmeyi ve host tabanlı IPS ile IDS imzalarını kaldırmayı sayıyor. Bu desenler, kritik altyapıya yönelik kampanyalarda sık görülen veri yok etme ve gösterge silme teknikleriyle örtüşüyor.

Tespit ve sağlamlaştırma

Tespit için yazı, admin, API veya PHP uçlarına (endpoint) gelen kodlanmış HTTP POST istekleri, gateway'den çıkıp reverse shell geri aramaları olabilecek beklenmedik giden bağlantılar, anormal DNS sorguları ve tek bir oturumdan gelen güvenlik duvarı politika değişikliği patlamaları gibi ağ sinyallerine işaret ediyor. Host tarafında savunmacılar /tmp ve /var/tmp içindeki yeni PHP dosyalarını, shell veya curl ve nc gibi araçlar türeten PHP süreçlerini, ayrıcalık yükseltme girişimlerini ve /dev/mem erişimini izlemeli. Önerilen SIEM uyarıları arasında on saniye içinde PHP çalıştırılmasını izleyen bir admin girişi, beş dakikalık pencere içinde elliden fazla politika değişikliği ve sistem yeniden başlatmasından hemen önce log silme yer alıyor.

Acil önlemler geleneksel ama ivedi: CVE-2026-123039'u ele alan Check Point bültenlerini uygulayın, yetkisiz değişiklikler için gateway admin hesaplarını denetleyin, yönetim erişimini açık internet yerine bastion host'larla sınırlandırın ve yama öncesi adli analiz için bellek ve dosya sistemi imajlarını alın. Uzun vadede analiz, tüm yönetim hesaplarında çok faktörlü kimlik doğrulama, SIEM'e gerçek zamanlı denetim loglaması, gateway kimlik bilgileri için ayrıcalıklı erişim yönetimi, izole yönetim ağları, gateway uçlarının haftalık güvenlik açığı taramaları, geçmiş loglar üzerinden 30-90 günlük tehdit avı ve doğrulanmış yedek geri yükleme kabiliyeti öneriyor.

Ayrıntılar ne kadar sağlam

Vurgulanması gereken bir uyarı var: bu tek bir analistin yazısı, satıcı bülteni değil. Özet saldırı zincirini olgu olarak sunuyor, ancak teknik bölümler defalarca temkinli davranıyor; ilk erişim vektörlerini olası olarak çerçeveliyor ve ayrıntılı CVE bilgisi olmadığını açıkça belirtiyor. Yöneticiler zinciri makul ve yararlı bir model olarak görmeli, aynı zamanda resmî Check Point güvenlik bültenleriyle çapraz kontrol yapmalı.

Neden önemli

Güvenlik duvarları ve gateway'ler güven sınırında durur ve anlatıldığı şekliyle bu olay, neden domain controller düzeyinde korumayı hak ettiklerini gösteriyor: ele geçirilmiş bir gateway, saldırgana hiçbir uç noktaya dokunmadan ağ erişimi verir ve bir web shell ile kernel düzeyinde ayrıcalık yükseltmesinin birleşimi cihazı tamamen ele geçirmeye yeter. Bu olay aynı zamanda güvenlik cihazlarının da birer yazılım olduğu ve yama sırasında genel uç noktalarının önünde, sıranın başında yer alması gerektiğini hatırlatıyor. Saldırganlar izlerini silmek için log silmeyi kullandığından, cihaz dışına taşınan değiştirilemez denetim loglaması isteğe bağlı değil, vazgeçilmez bir kontrol hâline geliyor. Son olarak, politika değişiklikleri ve admin hesabı oluşturma, büyük olasılıkla saldırgan kontrolünde olan bir yönetim arayüzünden ayrı kanallarla doğrulanmalı.