发生了什么
2026 年 11 月 12 日，Check Point 发布安全公告，确认 PHP2Shell（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）已在野外被利用：攻击者先通过暴露在互联网上的 Check Point 安全网关 Mobile Access Portal 利用 PHP2Shell 获得初始访问，再用 Gaia 操作系统 Dynamic CLI 服务的本地提权漏洞 CVE-2026-123039（CVSS 7.8）提升到 root 权限并建立持久化。利用活动从 10 月 30 日持续到 11 月 4 日。
据 Check Point Research 的调查，第一波攻击在 10 月 30 日针对以色列的组织，部分受害者遭到破坏性活动；第二波在 11 月 2 日扩大到多个国家与行业，未发现破坏性活动。被攻陷的是“几十台”未打补丁的系统，集中在单一地区；受影响客户已在调查开始当天得到通知并由厂商事件响应团队协助处置。值得注意的是，PHP2Shell 的修复早在 10 月 23 日就已提供，攻击发生在修复发布约一周后——未及时打补丁是被攻陷的直接原因。
受影响范围与修复版本
- PHP2Shell（CVE-2026-109618、CVE-2026-109619，CVSS 9.2）：影响 Security Gateways 的 Mobile Access Portal，R80 至 R82.20 的全部版本；Spark 防火墙的 R81.10.x、R82.00.x、R77.20.x、R80.20.x 分支也受影响。修复自 10 月 23 日起提供，现已并入 11 月 Jumbo Hotfix。
- CVE-2026-123039（CVSS 7.8）：Gaia 操作系统 Dynamic CLI 服务的本地提权漏洞，影响 Gaia R82.20、R82.10、R82、R81.20。修复版本为 11 月 Jumbo Hotfix 的各版本 Take：R82.20 Take 14 及以后、R82.10 Take 52 及以后、R82 Take 132 及以后、R81.20 Take 174 及以后（对应 SK 文章 sk1000362）。
- 11 月 Jumbo Hotfix 同时包含 HTTP2Shell / Node2Shell（CVE-2026-111497，Brotli 解码漏洞）的修复，以及另外两个 Gaia 问题（CVE-2026-107484、CVE-2026-120490，目前无已知在野利用）。
- 厂商建议：在全部管理服务器与安全网关上尽快安装 11 月 Jumbo Hotfix，并优先升级暴露在互联网上的 Mobile Access 部署。
自查步骤
- 安装 11 月 Jumbo Hotfix：管理服务器与安全网关全部升级，并按各自版本核对 Take 号达到上述修复版本；优先处理暴露在互联网上的 Mobile Access 部署。
- 核对暴露时间窗：重点核查 10 月 30 日至 11 月 4 日期间的网关日志，确认 Mobile Access Portal 是否曾暴露且未打补丁。
- 核查厂商公布的入侵指标：扫描来源地址 130.94.19.204、130.94.19.168；PHP 会话文件中是否含有 upload_progress_pwn 字符串；是否存在伪装成 Check Point 组件的 CPconfigdaemon 命名进程；/tmp 或 /temp 下是否出现含 scanner 或 wiper 字样的文件；是否存在引用“Dream Annexation”且无赎金要求的说明文件；防火墙流量日志是否在日志守护进程崩溃后出现无法解释的空白。出现任一匹配都应立即深入调查；没有匹配也不能完全排除被攻陷。
- 暂时无法安装热修复时的缓解措施：若可以接受失去 Dynamic CLI 功能，按厂商 SK 文章 sk1000362 的指引停止 dynamic_server 进程并防止其重启；同时尽快安排安装热修复。
- 核查横向移动迹象：调查报告称攻击者曾从网关经 SSH 转向 VMware ESXi 主机并部署破坏工具；除网关本身外，也应核查内网主机与虚拟化平台是否存在异常。
- 已确认被攻陷的系统：仅打补丁不够，应按厂商事件响应流程隔离、保留证据并重建。
当前状态
截至北京时间 2026 年 11 月 13 日 07:13 核查：PHP2Shell 的两个 CVE 已于 10 月 26 日列入 CISA KEV（联邦修复期限 10 月 29 日已过）；CVE-2026-123039 尚未列入 KEV。本次公告是厂商首次正式确认 PHP2Shell 在 Check Point 网关上的在野利用链，此前本栏目 10 月 29 日的两篇 PHP2Shell 指南分别讲了漏洞本身与联网防火墙管理界面遭利用的早期进展，本次为 Check Point 官方确认的完整利用链与 11 月 Jumbo Hotfix 修复口径。后续如 CVE-2026-123039 进入 KEV 或厂商发布进一步更新，将另行跟进。
来源：Check Point 官方安全公告（2026 年 11 月 12 日发布）、Check Point Research 技术分析、CISA KEV 官方数据。