Vulnerabilidad · alta · CVSS 7.8
Vulnerabilidad PHP2Shell en gateways de Check Point explotada para instalar backdoors
Nivel A · Parchea hoy – Antes de terminar la jornada
Quién está expuesto: Gateways Check Point R80 a R82.20 con interfaces web vulnerables
Nivel A porque: Infraestructura básica o herramienta popular Y se está explotando
Alcance
Ataque
Daño
Corrección
Herramienta popular · Se está explotando · Compromiso total
Qué hacer
- Revisar si los gateways Check Point están en el rango R80 a R82.20 y si tienen interfaces web expuestas
- Consultar el aviso de INCIBE-CERT para conocer las medidas de mitigación y actualización disponibles
Lo esencial
- Un actor de amenazas desconocido explotó vulnerabilidades en gateways de Check Point para obtener acceso inicial y escalar privilegios mediante CVE-2026-123039.
- Los atacantes desplegaron el backdoor TSGA y, en algunos casos, el malware wiper destroy_v6 para borrar archivos de ESXi.
- INCIBE-CERT alerta de la vulnerabilidad PHP2Shell en Check Point Security Gateways, incluidos Force Firewalls y Cloud Firewalls, de R80 a R82.20 con interfaces web vulnerables.
Por qué importa
Si administras firewalls Check Point o infraestructura virtualizada en ESXi, el compromiso de estos gateways puede dar acceso a tu red interna y permitir el borrado de archivos. Conviene verificar de inmediato las versiones afectadas y la exposición de sus interfaces web.
La checklist detrás del nivel
Checklist · 4 de 10 con sí
| Sí | Afecta a equipos técnicos | Equipos de red y seguridad: las gateways de Check Point son firewalls que operan equipos de TI. |
| No | Infraestructura básica | Fallo en un único fabricante de firewalls, no en software que casi todos los equipos operen. |
| Sí | Herramienta popular | Los firewalls de Check Point están muy extendidos en empresas, según su presencia general en el mercado. |
| Sí | Se está explotando | elhacker.NET: ciberdelincuentes explotaron los fallos e instalaron el backdoor TSGA. |
| No | Exploit público | Ninguna de las dos fuentes menciona código de explotación ni prueba de concepto publicada. |
| No | En remoto, sin credenciales | CVSSCVSS: CVE-2026-123039 AV:L/PR:L/UI:N |
| Sí | Compromiso total | CVSSCVE-2026-123039: CVSS califica como alto el impacto en confidencialidad e integridad |
| No | Secretos expuestos | elhacker.NET describe borrado de archivos de ESXi con un wiper, sin mencionar robo de datos o credenciales. |
| No | Cadena de suministro | No se describe compromiso de paquetes, actualizaciones oficiales, pipelines ni claves de firma. |
| No | Aún sin corrección | Las fuentes citadas no indican que falte una versión corregida. |
El registro oficial
De CVE.org, el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, FIRST EPSS y la GitHub Advisory Database. Cuando responden un hecho de la checklist, pesan más que las notas.
CVE-2026-123039 ↗CVSS 7.8 high AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Local privilege escalation to root in the DynamicCLI daemon via local world-writable control socket
- Explotado
- No está en el catálogo de explotadas de CISA
- Debilidad
- CWE-862, CWE-732
Cronología
INCIBE-CERT publica aviso sobre múltiples vulnerabilidades en productos Check Point
Avisos INCIBE-CERT
Múltiples vulnerabilidades en productos de Check Point
Blog elhacker.NET
Ciberdelincuentes aprovechan fallos de PHP2Shell en gateways de Check Point para instalar el backdoor TSGA y borrar archivos de ESXi
Cobertura completa · 2 fuentes
Visto por primera vez · 2 fuentes · La noticia completa · Cómo se deciden los niveles