Backdoor TSGA déployée via failles PHP2Shell sur passerelles Check Point
13 novembre 2026 · Cybersécurité · CHKP
Un acteur malveillant inconnu exploite des vulnérabilités PHP2Shell (CVE-2026-109618/109619) sur des passerelles Check Point non patchées pour déployer le backdoor TSGA, accompagné du composant réseau TSProxy. Selon Check Point, l'activité a débuté le 30 octobre 2026, ciblant d'abord des organisations israéliennes, puis s'étendant mondialement le 2 novembre 2026. Les attaquants pivotent ensuite vers des hôtes VMware ESXi via SSH pour déployer le wiper destroy_v6, effaçant des fichiers et laissant des notes politiques intitulées DREAM_ANNEXATION.txt. Check Point relie partiellement ces outils au groupe Armory Castle (nexus chinois), mais ne peut pas confirmer l'attribution avec certitude.
Impact marchés
Check Point Software Technologies (CHKP) est directement concernée par la compromission de ses produits Security Gateway. Le secteur cybersécurité est impacté, notamment les acteurs de protection des pare-feux d'entreprise et de sécurité réseau. VMware/Broadcom est indirectement exposé via l'exploitation des hôtes ESXi comme cible secondaire.
Opportunités
Opportunité pour les fournisseurs de solutions de détection d'intrusion réseau (NDR) et de protection des hyperviseurs. Risque à surveiller : exposition des organisations utilisant des versions non patchées de Check Point (R81 à R82.20) ; toute organisation avec Mobile Access Portal exposé sur Internet est potentiellement vulnérable. L'incertitude d'attribution (Chine vs acteur pro-Palestine) complique la réponse géopolitique.