Check Point 官方研究團隊於十一月十二日公布，已確認 PHP2Shell 漏洞在野外遭利用，攻擊面向互聯網的安全閘道。攻擊者先經流動接達入口未認證遠端執行程式碼，再以本機權限提升取得最高權限；修補早於十月二十三日提供。官方指觀測事件中僅數十套未修補系統、集中於單一地區受影響，並建議儘快於所有管理伺服器與安全閘道安裝十一月 Jumbo 熱修復。來源真實性已驗證。
Check Point／官方：PHP2Shell 已遭在野利用攻擊安全閘道——未認證即可遠端執行程式碼並提權至最高權限；觀測數十套未修補系統受影響，須儘快安裝十一月熱修復
Check Point 官方於十一月十二日由研究副總裁 Lotem Finkelstein 署名發布安全公告，指其研究團隊已確認名為 PHP2Shell 的 PHP 漏洞在野外遭利用，並同時影響 Check Point 安全閘道。觀測事件中，攻擊者先利用 PHP2Shell 取得初始存取，再以本機權限提升漏洞取得最高權限（root）並建立持久存取。官方寫道，適用於安全閘道與管理系統的修補早於十月二十三日提供，較攻擊開始早一星期；觀測事件中僅數十套未修補系統、且集中於單一地區遭受入侵，受影響客戶已獲即時通知，事件應變團隊亦已協助修復。以下內容核對自該官方安全公告、技術支援說明 sk1000302，以及同日發表的 Check Point Research 技術報告，來源真實性已驗證。
一、核心事件：面向互聯網的閘道遭漏洞鏈利用
官方研究報告指出，自十月三十日起，攻擊者對仍未修補、並開放流動接達（Mobile Access）入口的 Check Point 安全閘道進行掃描與利用，先以 PHP2Shell 作為初始存取，再接上 CVE-2026-123039。利用活動觀測至十一月四日仍屬活躍。第一波於十月三十日針對以色列機構，當中部分個案出現破壞性活動；十一月二日出現較廣泛的第二波，對象遍及多個國家與行業，官方指未見破壞性活動。兩波均未呈現明確行業偏好，官方判斷較接近機會性的初始存取嘗試，而非針對特定產業。
官方安全公告同時說明，在許多個案中，攻擊為攻擊者在客戶網絡取得立足點；僅在有限個案中，攻擊還涉及破壞性活動，並具意識形態動機。官方並不對整場行動作高確信歸因。
技術細節
官方把 PHP2Shell 列為 CVE-2026-109618 與 CVE-2026-109619，嚴重程度評分為九點二分，屬未經認證即可經防火牆網頁介面遠端執行程式碼的漏洞，影響安全閘道的流動接達入口，版本涵蓋 R80 至 R82.20，以及 Spark 防火牆 R81.10.x、R82.00.x、R77.20.x 與 R80.20.x，並已確認在野外遭利用。配套的本機權限提升漏洞為 CVE-2026-123039，嚴重程度評分七點八分，存在於 Gaia 作業系統的 Dynamic CLI 服務，影響 R82.20、R82.10、R82 及 R81.20，同樣已確認在野外遭利用。
技術支援說明 sk1000302 進一步列出，使用下列功能之一的 Check Point Force、Spark 及雲端防火牆可能受 PHP 漏洞影響：流動接達入口（不適用於 Spark 防火牆）、採用 SSL Network Extender 的遙距存取虛擬私人網絡（同樣不適用於 Spark）、啟用 SAML Realm 驗證的遙距存取虛擬私人網絡、啟用 Identity Awareness 強制入口、UserCheck 入口，以及 Zero Phishing。說明同時寫道，Check Point 入口與軟件即服務已完成修補；安全管理與日誌伺服器不受上述 PHP 漏洞影響；Maestro Orchestrator 亦不受影響。Check Point 產品不受 CVE-2026-115560 影響。R80 至 R81.10 相關版本已被列為停止支援。官方說明寫道，修復已納入 Jumbo 熱修復累積包：R82.20 由 Take 14 起、R82.10 由 Take 52 起、R82 由 Take 132 起、R81.20 由 Take 174 起；Spark 防火牆則為 R82.00.11 由組建 B998002843 起，以及 R81.10.17 由組建 B996005005 起。若選擇不升級至該累積包，亦可另行下載獨立熱修復套件，惟須在每台安全閘道、叢集成員或獨立裝置上安裝並重新啟動。
研究報告描述，在調查過的入侵中，攻擊者取得流動接達入口權限後，經 Dynamic CLI 介面提升至最高權限，再部署 PHP 網頁後門，以及名為 TSGA 的持久後門及其內嵌的 TSProxy 網絡元件；其後曾以安全殼協議橫向移動至 VMware ESXi 主機，部署名為 destroy_v6 的清除程式，並留下政治主題、檔名為 DREAM_ANNEXATION.txt 的字條。官方公告亦列出部分入侵指標，包括偵察來源位址、含有特定字串的 PHP 工作階段檔、偽裝成合法元件的程序名稱模式、暫存目錄中帶有掃描或清除含義的檔案、提及「Dream Annexation」但沒有付款要求的字條，以及日誌守護程序崩潰後出現的防火牆流量日誌缺口。機構應按官方完整清單查證，而非只依賴單一指標。
二、技術原理深度解析
這條攻擊鏈的關鍵，在於把「網頁入口的未認證遠端執行」與「閘道作業系統上的本機提權」串在一起。流動接達入口本來是讓員工從互聯網以瀏覽器連回內部資源的通道，一旦底層 PHP 處理存在可被觸發的遠端執行缺陷，攻擊者不必先持有帳戶，便可在入口服務的權限範圍內執行程式碼。若系統同時存在 Dynamic CLI 本機權限提升漏洞，入口服務帳戶便可被抬升至最高權限，從而以系統層級寫入持久機制、攔截網絡函式，甚至改動或刪除日誌。
研究報告指，TSGA 與 TSProxy 是先前在 Ivanti 產品入侵中出現的 PhiliKit 工具框架之改裝變體，兩者在程式碼、設定與密碼學材料上有明顯共通點。官方同時寫道，雖然有機構把 PhiliKit 與中國背景的 UNC5221 聯繫起來，而且此次使用的基礎設施與掃描時段亦出現若干相符線索，但破壞性手法、以以色列為第一波焦點，以及字條內容等要素，並不完全符合已知相關威脅組織的動機與利益。官方明確表示，現有證據不足以高確信判斷這場行動的真正性質：攻擊者可能全程主導、可能只負責初始存取、也可能涉及僞裝行動，破壞性活動亦可能只是煙幕。字條使用 Dream Security 品牌，而該公司近日曾發表有關中國背景攻擊者利用 PHP2Shell 入侵 Palo Alto Networks 裝置的研究；官方認為時序令人聯想到報復可能，但現有證據並不能確立動機。
對營運團隊而言，原理上的教訓並不複雜：面向互聯網的管理與遙距接達入口，等於把應用層漏洞直接暴露在掃描範圍內；即使供應商已在攻擊開始前一星期提供修補，只要裝置仍停留在未修補狀態，漏洞鏈依然可被完整走通。官方亦提到，R82.20 即使未啟用入侵防禦系統或 HTTPS 檢查，仍可藉「PHP Remote Code Execution」特徵碼自我防護，但這不能取代安裝正式熱修復。
四、日常應用場景
1. 開發者與技術團隊
負責閘道、遙距存取與身份入口的團隊，應先清點哪些裝置開放流動接達、SSL 延伸、SAML 驗證、強制入口或 UserCheck 等功能，並核對 Jumbo 熱修復版本是否已達官方門檻。若暫時未能升級，應按官方說明採取緩和措施，但官方仍以安裝熱修復為解決方案，且獨立熱修復套件需重新啟動裝置。發現可疑跡象時，應保存日誌與磁碟映像，並對照官方入侵指標，避免在未取證前先清理現場。
2. 企業與隱私敏感行業
金融、專業服務及任何把防火牆同時用作遙距辦公入口的機構，應把這次事件視為供應鏈與邊緣裝置風險，而非單一網站漏洞。官方指第二波未見明確行業偏好，意味著只要入口暴露在互聯網且未修補，都可能被掃到。若已確認入侵，除修復閘道外，還須檢查是否出現往內部虛擬化主機的橫向移動，並評估日誌缺口是否掩蓋了後續活動。受規管行業還須按本身通報義務評估，是否需向客戶或監管機構說明。
3. 一般用戶
一般員工不會直接安裝閘道熱修復，但仍可能是遙距接達的使用者。若公司通知相關入口暫停或改用其他驗證方式，應依從資訊部門指示，不要改連來歷不明的「修復網站」。個人家用路由器並非今次公告所涵蓋的 Check Point 安全閘道產品線。
4. 香港與亞洲市場視角
Check Point 安全閘道在香港企業、金融及專業服務的邊緣網絡與遙距辦公場景並不罕見。面向互聯網的流動接達與虛擬私人網絡入口，一旦未及時修補，便可成為攻擊者進入內部網絡的第一道缺口。亞洲其他市場同樣有大量同類部署，官方所述的第二波已涵蓋多個國家，香港機構不應假設攻擊只集中於第一波地區。對於懷疑受影響的本地機構，除安裝熱修復外，亦應同步檢查內部虛擬化平台與日誌完整性。
五、專業評價與潛在考量
優勢
官方在攻擊開始前一星期已提供修補，其後把相關修復納入十一月 Jumbo 熱修復，並公開完整漏洞表、受影響功能與入侵指標，受影響客戶亦獲即時通知，有助縮小實際失陷範圍。官方對歸因持審慎態度，避免在證據不足時把行動簡單歸入某一已知組織，這對企業研判風險同樣重要。R82.20 上即使未開啟部分檢查功能，仍可依特徵碼提供一層自我防護，可作為升級前的輔助控制。
需要留意的地方
官方承認，觀測到的失陷裝置正是那些尚未安裝已發布修補的系統；修補存在並不等於裝置已被升級。流動接達、遙距虛擬私人網絡與強制入口等功能一旦暴露於互聯網，便會把應用層缺陷直接交給掃描器。研究報告顯示，攻擊者在取得最高權限後，還可能部署持久後門、攔截網絡連線，並向內部虛擬化主機擴散，甚至進行破壞性清理，令取證與復原更困難。官方亦未能高確信判定行動性質，企業不應只按單一來源標籤來決定監控重點，而應按暴露面與入侵指標實際查證。已停止支援的舊版本更須評估更換或隔離。
結語
Check Point 官方已確認 PHP2Shell 與配套本機權限提升漏洞在野外遭利用，攻擊鏈可令面向互聯網的安全閘道由未認證遠端執行走向最高權限與持久存取。對香港企業而言，當務之急是核對閘道與管理系統是否已安裝十一月 Jumbo 熱修復，並優先處理仍開放在互聯網上的流動接達部署，同時按官方指標排查是否已被掃描或入侵。若機構需要評估雲端與網絡邊緣的修補、監控與防護部署，可參考 YSK Limited 的雲端遷移與網絡安全服務（https://ysk.hk/services/cloud-security）。
參考來源
- Check Point 官方安全公告：https://blog.checkpoint.com/security/security-advisory-active-exploitation-of-php2shell-and-local-privilege-escalation/
- Check Point 技術支援說明 sk1000302：https://support.checkpoint.com/results/sk/sk1000302
- Check Point Research 技術報告：https://research.checkpoint.com/2026/php2shell-exploitation-on-check-point-gateway/
- SecurityWeek 報道（發現來源）：https://www.securityweek.com/php2shell-exploited-in-destructive-check-point-gateway-attacks/
- YSK Limited 雲端遷移與網絡安全：https://ysk.hk/services/cloud-security