Check Point安全网关被攻破，攻击者进内网擦数据，没要赎金

本来用来守住公司网络入口的安全设备，反而成了攻击者进入内网的跳板。Check Point在11月12日公布调查：攻击者突破其部分未修补网关后，进入VMware ESXi服务器运行数据擦除程序。留下的字条没有索要赎金，这不是等人付钱解锁文件的普通勒索故事。

这条攻击链先经过PHP2Shell。PHP是许多网站和设备网页后台使用的程序语言。PHP团队10月21日的公告说，两处严重错误可能让没有登录的人远程执行代码：一处涉及内存不足时未完成的数据处理，另一处会继续使用已经失效的旧状态。可以把它理解为办事窗口把作废的单据重新当成有效凭证，而不只是网页显示出了毛病。

Check Point的官方安全公告称，攻击者先利用网页入口，再通过另一处权限错误拿到设备的最高管理权。堵住PHP2Shell入口的修复在10月23日已经提供，比观察到的攻击早一周。这里的新信息是实际发生的连环入侵及破坏后果，而不是又列出一个漏洞编号。

研究报告把首轮活动追溯到10月30日，部分以色列组织遭到破坏；11月2日又出现面向多个国家和行业的活动，但后者没有发现破坏证据。在详细调查的入侵中，攻击者从网关转到ESXi主机，部署名为destroy_v6的擦除工具。研究人员没有给出有把握的攻击者归属。

为什么越过网关之后还要盯住这类服务器？VMware解释，虚拟化软件能让一台实体机器同时运行多台虚拟电脑，各自运行系统和应用。它像把一栋楼分成多间办公室，平时能节省空间、能源和维护成本；但管理整栋楼的底层，与其中某个办公室不是同一层东西。攻击抵达这层基础设施，风险就不只是一位员工打不开文件。

Check Point建议客户安装11月综合修复包，优先处理暴露在互联网的远程访问入口，并检查异常进程及防火墙日志缺口等入侵迹象。它同时提醒，没有匹配到已公布迹象，也不等于设备一定安全。对企业来说，更新与排查必须分别做：装上防盗门的新锁，和查清屋里有没有已经进去的人，是两件事。

原文发布时间：Check Point，2026年11月12日。