INCIDENTE
Ciberataque a gateways de Check Point sin parchear: acceso root, backdoor TSGA y borrado de ESXi
Check Point confirmó dos oleadas de explotación de PHP2Shell en sus Security Gateways: la primera, el 30 de octubre de 2026, afectó a organizaciones israelíes y en algunos casos derivó en ataques destructivos.
Check Point Research confirmó que actores no identificados explotaron gateways de seguridad de la compañía que no tenían aplicadas las actualizaciones, ingresando por el portal de Mobile Access. La actividad comenzó el 30 de octubre de 2026, cerca de una semana después de que estuviera disponible una corrección de seguridad, y provino de una dirección IP que la firma identificó.
Tras el acceso inicial mediante las fallas conocidas como PHP2Shell, los atacantes escalaron privilegios desde la cuenta de servicio del portal hasta root aprovechando CVE-2026-123039, una vulnerabilidad de elevación local en la interfaz DynamicCLI de Gaia OS. Con ese control desplegaron webshells en PHP y una puerta trasera persistente llamada TSGA, con su componente de red TSProxy.
En algunos casos los atacantes pasaron del gateway a un host VMware ESXi por SSH, desplegaron el borrador destroy_v6 y dejaron notas con la leyenda DREAM_ANNEXATION.txt durante la etapa destructiva. Check Point indicó que observó explotación activa de la falla de escalada contra un par de decenas de clientes.
Hubo dos oleadas: la del 30 de octubre afectó a organizaciones israelíes, algunas con acciones destructivas, y la del 2 de noviembre alcanzó a organizaciones de varios países y sectores sin signos de destrucción. Según Check Point, ninguna de las dos se concentró en un sector particular, lo que apunta a un escaneo oportunista más que a un objetivo cuidadosamente seleccionado.
Cómo ocurrió
- Confirmado
- PHP2ShellFallas en portales Mobile AccessConfirmado.
- Acceso inicialExplotación de gateways sin parchearConfirmado.
- Escalada a rootCVE-2026-123039 en DynamicCLIConfirmado.
- Webshells y TSGAPersistencia con backdoor TSProxyConfirmado.
- Pivote a ESXiConexión SSH al host virtualConfirmado.
- Borrador destroy_v6Notas DREAM_ANNEXATION.txtConfirmado.
Reconstrucción de DUPIN Noticias según lo informado.
¿Hackearon a Check Point? Qué se sabe
Sí. El incidente está confirmado. Check Point confirmó dos oleadas de explotación de PHP2Shell en sus Security Gateways: la primera, el 30 de octubre de 2026, afectó a organizaciones israelíes y en algunos casos derivó en ataques destructivos. Información actualizada al 13 de noviembre de 2026.
ACREDITADO
- Check Point Research confirmó la explotación de gateways sin parchear a través de portales de Mobile Access, con actividad desde el 30 de octubre de 2026.
- La firma identificó el uso de PHP2Shell para el acceso inicial y de CVE-2026-123039 para escalar de la cuenta del portal a root mediante la interfaz DynamicCLI.
- Check Point reportó el despliegue de webshells PHP, la puerta trasera TSGA y su componente TSProxy como mecanismos de persistencia.
- La compañía confirmó que en algunos casos se pasó a un host ESXi por SSH y se desplegó el borrador destroy_v6 con notas políticas.
- Check Point afirmó haber observado explotación activa de la falla de escalada contra un par de decenas de clientes.
SIN VERIFICAR O ABIERTO
- No se estableció la identidad ni el motivo del actor de amenazas detrás de las dos oleadas.
- No está determinado si la primera oleada y la segunda responden al mismo grupo o a distintos operadores.
- No se precisó cuántas organizaciones sufrieron ataques destructivos ni cuántas fueron comprometidas en total.
- La coincidencia temporal con investigaciones sobre ataques PHP2Shell atribuidos a actores vinculados a China plantea una posible retaliación, pero la evidencia no la sustenta.
Contexto
El episodio se apoya en las fallas PHP2Shell, asociadas a CVE-2026-109618 y CVE-2026-109619, que permiten el acceso inicial a los portales de Mobile Access de los gateways. La escalada posterior, CVE-2026-123039, es una vulnerabilidad local que requiere que el atacante ya tenga ejecución de código en el dispositivo.
La puerta trasera TSGA se despliega como slot_CPconfigdaemon y fue descrita como un implante para gateways Linux con funciones específicas de Check Point: acceso remoto cifrado, robo de configuración, persistencia mediante respaldos y snapshots, inyección de procesos y manipulación de registros de firewall. Los atacantes también usaron un escáner para descubrir activos y servicios internos.
Las notas dejadas en la etapa destructiva usan la marca Dream Security, firma que recientemente publicó investigación sobre ataques PHP2Shell contra dispositivos de Palo Alto Networks atribuidos a actores vinculados a China. Esa coincidencia temporal sugiere una posible retaliación, aunque Check Point aclaró que la evidencia no establece un motivo claro.
Qué hacer
- Aplicar parches pendientes Actualizar los Security Gateways de Check Point y verificar que las correcciones de PHP2Shell y de la falla de escalada estén aplicadas en todos los equipos expuestos.
- Revisar el portal de acceso Auditar los portales de Mobile Access, restringir su exposición a internet y revisar sesiones y archivos temporales en busca de webshells o actividad anómala.
- Buscar persistencia Comprobar la presencia de procesos o configuraciones no reconocidas, incluidos componentes con nombres asociados a servicios legítimos, y revisar respaldos y snapshots.
- Proteger hosts ESXi Revisar el acceso SSH a los hosts de virtualización, limitar las conexiones desde gateways y mantener copias de respaldo aisladas y verificadas.
- Monitorear movimientos laterales Vigilar el escaneo interno de activos y servicios, y revisar registros de firewall ante posibles manipulaciones por parte de intrusos.
CÓMO SE ELABORÓ Nota de la redacción de DUPIN Noticias, escrita con asistencia de inteligencia artificial a partir de información pública y revisada con reglas editoriales automáticas. Lo que no está verificado se marca como tal. ¿Encontraste un error? Pedí una corrección · Metodología.
