Aanvallers maken misbruik van een kwetsbaarheid waardoor ze root op gateways, firewalls en andere producten van Check Point kunnen worden. Bij tientallen klanten van het cybersecuritybedrijf is het beveiligingslek tegen de Check Point Security Gateway ingezet. Dat meldt Check Point zelf, dat met hotfixes is gekomen om het probleem (CVE-2026-123039) te verhelpen. De eerste aanvallen werden eind oktober waargenomen. Misbruik van het beveiligingslek vereist dat aanvallers al toegang tot de kwetsbare appliance hebben.

Bij de aanvallen die Check Point detecteerde maakten de aanvallers gebruik van de PHP2Shell-lekken om de Mobile Access portal van de Security Gateways aan te vallen. Vervolgens werd CVE-2026-123039 gebruikt om de rechten op de gehackte gateway te verhogen tot die van root. Hierna installeerden de aanvallers een PHP-webshell om toegang tot het gehackte systeem te behouden. Bij sommige organisaties werden vanaf gehackte gateways VMware ESXi hosts aangevallen en allerlei bestanden gewist.

Volgens Check Point is misbruik van het probleem bij tientallen klanten waargenomen. De kwetsbaarheid is aanwezig in Check Point Firewall, Multi-Domain Security Management Server, Scalable Platforms, Security Gateway en Security Management Server. Naast een update zijn ook Indicators of Compromise (IoC's) gepubliceerd waarmee organisaties kunnen kijken of hun systemen zijn gehackt.