Check-Point-Firewalls unter aktivem Angriff: Backdoor installiert, VMware-Server gelöscht

Angreifer kombinieren eine gepatchte PHP-Lücke mit einem neuen Root-Exploit auf Check-Point-Firewalls, um eine Backdoor zu platzieren – und löschen teils ganze VMware-ESXi-Server.

Wenn Ihr Unternehmen oder Ihr IT-Dienstleister eine Check-Point-Security-Gateway als Perimeter-Firewall einsetzt, sollten Sie heute genau hinschauen. Check Point Research hat eine aktive Angriffskampagne bestätigt, bei der eine Schwachstelle namens PHP2Shell mit einer brandneuen Privilegien-Eskalationslücke kombiniert wird, um Gateways vollständig zu übernehmen – und in einzelnen Fällen die dahinterliegenden virtuellen Server komplett zu zerstören.

Was genau passiert

Laut dem offiziellen Sicherheitsadvisory von Check Point verschaffen sich Angreifer zunächst über PHP2Shell Zugang zum Mobile-Access-Portal. Von dort nutzen sie eine neu bekannt gewordene lokale Privilegien-Eskalationslücke, die als CVE-2026-123039 geführt wird, um Root-Rechte auf dem Gerät zu erlangen – das bestätigt auch die Berichterstattung von The Hacker News.

Mit Root-Zugriff installieren die Angreifer PHP-Webshells sowie eine persistente Backdoor namens TSGA, inklusive einer eingebetteten Netzwerkkomponente namens TSProxy. Das Threat-Research-Team von Check Point beschreibt TSGA als Implant mit verschlüsseltem Fernzugriff, Diebstahl der Firewall-Konfiguration, Persistenz über Backups und Snapshots, Prozess-Injection sowie der Fähigkeit, Firewall-Logs zu manipulieren, um Spuren zu verwischen – detailliert beschrieben bei Lavx News.

In einigen bestätigten Fällen blieben die Angreifer nicht bei der Firewall stehen. Der Research-Blog von Check Point hält fest, dass Angreifer in Umgebungen israelischer Opfer vom kompromittierten Gateway aus über SSH auf VMware-ESXi-Hosts zugriffen und dort einen destruktiven Wiper installierten – virtuelle Maschinen wurden dabei nicht nur ausspioniert, sondern dauerhaft zerstört.

Warum das jetzt wichtig ist

Das ist kein theoretisches Risiko. Check Point bestätigt, dass die aktive Ausnutzung Ende Oktober 2026 begann und ungepatchte Mobile-Access-Portale rund eine Woche, nachdem ein Sicherheits-Fix verfügbar war, ins Visier nahm. Genau dieses Muster sehen wir derzeit überall: Ein Patch erscheint, und Angreifer reverse-engineeren ihn schneller, als Unternehmen ihn einspielen können. Check Point hat bislang aktive Ausnutzung bei rund zwei Dutzend Kunden beobachtet – angesichts der weiten Verbreitung von Check-Point-Gateways als Perimeter-Firewall bei KMU und deren IT-Dienstleistern dürfte die tatsächliche Betroffenheit deutlich höher liegen als öffentlich bestätigt.

Eine Firewall soll eigentlich das Bollwerk zwischen Ihrem Netzwerk und dem Internet sein. Wird die Firewall selbst zum Einfallstor, und können Angreifer von dort aus die Virtualisierungsebene erreichen und ganze Server löschen, geht die geschäftliche Tragweite weit über einen Datendiebstahl hinaus – es geht um die Betriebskontinuität.

Was Sie heute tun sollten

• Patch-Stand prüfen. Stellen Sie sicher, dass Ihre Check-Point-Security-Gateways, insbesondere alles mit aktivem Mobile-Access-Portal, vollständig gegen CVE-2026-109618, CVE-2026-109619 und CVE-2026-123039 gepatcht sind, wie im Advisory von Check Point beschrieben.
• Exposition sofort einschränken, auch vor Abschluss des Patchings. Falls das Mobile-Access-Portal nicht aus dem offenen Internet erreichbar sein muss, beschränken Sie den Zugriff auf bekannte IP-Bereiche oder ein VPN, bis der Patch-Status bestätigt ist.
• Nach Kompromittierungsspuren suchen. Prüfen Sie auf unautorisierte PHP-Webshells und jegliche Spuren der TSGA- oder TSProxy-Backdoor. Das Advisory von Check Point enthält konkrete Indikatoren – ein eingespielter Patch bedeutet nicht automatisch ein sauberes System, wenn das Gerät bereits exponiert war.
• Firewall-Logs auf Manipulation prüfen. Da TSGA Logs verändern kann, ist eine "unauffällige" Log-Historie nicht automatisch beruhigend. Prüfen Sie gegen eine externe Log-Speicherung oder ein SIEM, falls vorhanden.
• VMware-ESXi-Exposition kontrollieren. Wenn Firewall und Virtualisierungs-Hosts Netzwerkpfade teilen, insbesondere SSH-Zugriff, segmentieren Sie diese. Stellen Sie sicher, dass VM-Backups existieren und an einem Ort liegen, den diese Angriffskette nicht erreichen könnte.

Das grössere Bild

Das ist bereits der vierte Angriff auf Perimeter-Geräte, über den wir allein in dieser Woche berichten – nach Citrix, SonicWall und Barracuda nun Check Point. Firewalls und VPN-Gateways stehen genau dort, wo Angreifer hinwollen: am Netzwerkrand, vertrauenswürdig eingestuft und oft zu wenig überwacht. Wir beobachten diesen Bereich weiter und berichten, was Schweizer KMU patchen, prüfen oder abschalten müssen, denn das gehört inzwischen schlicht zum IT-Alltag jedes Unternehmens.

Wenn Ihnen die internen Kapazitäten fehlen, um solche Advisories laufend zu verfolgen und die eigene Betroffenheit zu prüfen, ist genau das die Art von laufender Unterstützung, die The Mejlerö Company (Flitz.ai) für Unternehmen in Obwalden, Nidwalden, Luzern und Zürich bietet – von der Prüfung grundlegender Firewall- und Endpoint-Sicherheit bis zur Einrichtung von Zwei-Faktor-Authentifizierung und strukturierter Netzwerkverwaltung. Eine kostenlose Netzwerk-Analyse und eine kostenlose einstündige Beratung sind ein vernünftiger erster Schritt, wenn Sie unsicher sind, wo Ihr Unternehmen aktuell steht.