Check Point ha publicado hotfixes de emergencia porque atacantes explotan desde finales de octubre sus Security Gateways sin parchear, de R80 a R82.20, para obtener root. Si tu empresa usa firewalls o VPN de Check Point, directamente o vía tu proveedor de TI, instala hoy el Jumbo Hotfix de noviembre y revisa si ya te han comprometido.
Lo esencial
- INCIBE publicó el 13 de noviembre el aviso INCIBE-2026-864, de importancia crítica: 5 vulnerabilidades, 2 críticas, 2 altas y 1 baja.
- PHP2Shell (CVE-2026-109618 y CVE-2026-109619) son fallos de memoria en PHP que permitirían a un atacante remoto sin autenticar ejecutar código a través de una interfaz web vulnerable.
- CVE-2026-123039 (CVSS 7.8) es una autorización ausente en el proceso DynamicCLI: cualquier usuario local autenticado puede escalar a root, según The Hacker News.
- Check Point Research observó ataques entre el 30 de octubre y el 4 de noviembre contra gateways sin parche con el portal Mobile Access expuesto a Internet.
- CISA añadió CVE-2026-123039 a su catálogo KEV el 13 de noviembre. Las agencias federales de EE. UU. tienen hasta el 16 de noviembre y deben hacer además un análisis forense.
¿Me afecta si tengo un firewall de Check Point?
Probablemente sí, si no has aplicado las correcciones de noviembre. INCIBE indica que afecta a los Security Gateways de Check Point, incluidos Force Firewalls y Cloud Firewalls, de R80 a R82.20 con interfaces web vulnerables.
El fallo de escalada CVE-2026-123039 afecta a R82.20, R82.10, R82, R81.20, R81.10 y R81 de Force Firewalls, servidores de Management y Log, Multi-Domain Security Management y Maestro Orchestrator.
La exposición depende de los servicios que tengas habilitados y de las correcciones instaladas. El caso de más riesgo es el portal Mobile Access abierto a Internet.
Si no usas Check Point, no te afecta. Pero muchas empresas no saben qué firewall tienen porque lo gestiona un proveedor. Pregúntalo hoy.
¿Cómo entraron y qué hicieron después?
Según BleepingComputer, los atacantes entraron por el portal Mobile Access con PHP2Shell y después subieron a root con CVE-2026-123039. Check Point dice que observó explotación activa contra un par de docenas de clientes. The Hacker News sitúa la actividad a finales de octubre contra organizaciones israelíes, aproximadamente una semana después de que hubiera un parche.
Con root instalaron la puerta trasera TSGA: acceso remoto cifrado, robo de configuración, persistencia en copias y snapshots, inyección en procesos y manipulación de los logs binarios del firewall. Es decir, puede alterar los registros que usarías para investigar.
En algunas intrusiones saltaron del gateway a un host VMware ESXi por SSH y ejecutaron un wiper, destroy_v6, que recorre el directorio objetivo y borra todos los archivos, sea cual sea su extensión. Check Point no tiene pruebas suficientes para atribuir la campaña a un grupo concreto.
Qué hacer hoy
- Pide a tu proveedor de TI la versión de Gaia y el nivel de Jumbo Hotfix de cada firewall y servidor de gestión de Check Point.
- Instala el Jumbo Hotfix Accumulator de noviembre. Las versiones corregidas que cita INCIBE son R82.20 Take 14, R82.10 Take 52, R82 Take 132 y R81.20 Take 174. Empieza por los equipos con Mobile Access expuesto a Internet.
- Si no puedes parchear hoy, aplica la mitigación de Check Point: detén el proceso dynamic_server e impide que se reinicie. Valora cerrar el acceso externo al portal.
- Revisa si ya hubo compromiso: web shells, procesos o archivos extraños y accesos SSH desde el gateway hacia ESXi. Rota las credenciales que pudieran estar expuestas. No te fíes solo de los logs del firewall, porque TSGA puede manipularlos.
- Comprueba que las copias de seguridad de tus servidores virtualizados están aisladas y no son accesibles desde el firewall.
Qué significa para una pyme
El firewall es el equipo en el que confías para protegerte, y aquí ha sido la puerta de entrada. Eso cambia las prioridades.
Primero, parchear hoy es obligatorio, pero no basta. La explotación empezó unos días antes de que Check Point Research cerrara su ventana de observación, y una semana después de que existiera parche. Si tu proveedor aplica actualizaciones del perímetro una vez al mes, has estado expuesto. Para firewalls y VPN, la ventana de parcheo tiene que medirse en días.
Segundo, el salto del firewall a ESXi por SSH es un problema de diseño, no de parche. Un gateway no debería poder abrir sesiones contra tus hipervisores ni contra tus copias. Si mañana aparece otro fallo, esa separación es lo que evita que pierdas los servidores.
Los ataques documentados apuntaron a organizaciones israelíes. Eso no te protege: un gateway sin parchear es igual de vulnerable en Valencia que en Tel Aviv. Si no tienes claro quién gestiona tu perímetro o cómo revisar un posible compromiso, puedes apoyarte en un equipo de ciberseguridad externo.
Preguntas frecuentes
¿Basta con instalar el parche?
No si tu equipo estuvo expuesto desde finales de octubre. El parche cierra la entrada, pero no expulsa a quien ya está dentro. Por eso CISA exige análisis forense a las agencias federales.
¿Estoy a salvo si no tengo el portal Mobile Access abierto?
Tu riesgo es menor, no nulo. INCIBE recuerda que la exposición depende de los servicios habilitados, y CVE-2026-123039 da root a cualquier usuario local autenticado. Instala el hotfix igualmente.
¿Quién está detrás de los ataques?
No se sabe. Check Point no tiene pruebas suficientes para atribuirlo a un grupo concreto.
Fuentes
- INCIBE-CERT: Múltiples vulnerabilidades en productos de Check Point (INCIBE-2026-864)
- BleepingComputer: Check Point warns of zero-day flaw exploited for root access
- The Hacker News: Hackers Exploit PHP2Shell Flaws in Check Point Gateways to Deploy TSGA Backdoor and Wipe ESXi Files
- CISA: CISA Adds Two Known Exploited Vulnerabilities to Catalog
- CISA: Known Exploited Vulnerabilities Catalog
