¿Aún no ha instalado el Jumbo Hotfix? Ciberdelincuentes ya están vulnerando las pasarelas de Check Point y borrando datos
Lo más inquietante ocurrió después de que los intrusos ya estaban dentro.
La intrusión del cortafuegos Check Point resultó en la penetración en la red interna y en un ataque al servidor VMware ESXi mediante un malware destructor de datos. La empresa reveló la cadena de ataques, en la que los atacantes aprovecharon las vulnerabilidades PHP2Shell y un fallo DynamicCLI hasta entonces desconocido en el sistema operativo Gaia. Según el desarrollador, alrededor de dos docenas de clientes se vieron afectados.
Los ataques comenzaron el 30 de octubre de 2026, una semana después de la publicación de las correcciones para PHP2Shell. La primera ola incluyó casos aislados de destrucción de datos. Desde el 2 de noviembre los atacantes ampliaron la geografía del escaneo, afectando a organizaciones de distintos países y sectores. No se detectaron indicios de acciones destructivas en la segunda ola. La actividad observada continuó hasta el 4 de noviembre.
La intrusión inicial fue posible gracias a dos errores críticos de PHP, CVE-2026-109618 y CVE-2026-109619, con puntuaciones CVSS de 9,2. A través del portal vulnerable Mobile Access los atacantes ejecutaban código sin autenticación. Luego emplearon CVE-2026-123039, elevando los privilegios de una cuenta de servicio hasta root. Este último error recibió 7,8 puntos CVSS.
La causa de CVE-2026-123039 fue el mecanismo de intercambio de comandos DynamicCLI. El servicio dynamic_server se ejecuta con permisos de root y acepta peticiones a través del socket local /tmp/dynamic_socket, que permite escritura por otros procesos. No había verificación de los privilegios del remitente, por lo que un usuario con permisos locales limitados podía enviar comandos privilegiados. El error no está pensado para un ataque remoto autónomo.
Tras obtener el control total de la pasarela, los atacantes implantaron web shells PHP e instalaron un backdoor TSGA con un componente de red oculto TSProxy. El malware permitía mantener el acceso tras reinicios, recopilar la configuración e interferir en los registros del cortafuegos. Después los atacantes escanearon la red interna, se conectaron a VMware ESXi por SSH y ejecutaron el programa destroy_v6, que sobrescribía y eliminaba archivos.
La vulnerabilidad DynamicCLI afecta a las pasarelas, a los servidores de gestión y a los de registro de Check Point, incluyendo Multi-Domain y algunas plataformas escalables. En la lista oficial se indican Gaia R81.20, R82, R82.10 y R82.20, y el boletín ampliado cubre versiones anteriores. Los dispositivos Spark no son vulnerables a las tres nuevas fallas, sin embargo siguen siendo vulnerables a PHP2Shell si no se actualizan.
El Jumbo Hotfix de noviembre también corrige CVE-2026-107484 con una puntuación de 7,3 en los controladores de Gaia Portal y CVE-2026-120490 con una puntuación de 3,8, que permite evadir restricciones de red mediante NAT. No hay explotación confirmada de esas dos fallas. La actualización incluye correcciones para PHP, Linux y Node.js, incluidas vulnerabilidades de ejecución remota de código detectadas con anterioridad.
Check Point recomendó instalar los Jumbo Hotfix actuales en las pasarelas y en los servidores de gestión. La mitigación temporal para CVE-2026-123039 consiste en detener dynamic_server, con la pérdida de las funciones DynamicCLI. El 13 de noviembre CISA incluyó la vulnerabilidad en el catálogo KEV, confirmando su estatus como problema explotado activamente. Se han publicado indicadores de red y signos de actividad del backdoor para comprobar la compromisión.