✨︎ Resumen (TL;DR):
- Check Point investigó intrusiones que comenzaron en portales Mobile Access de Security Gateways sin actualizar.
- CVE-2026-109618 y CVE-2026-109619 pueden permitir la ejecución remota de código sin autenticación; otra falla llevó los permisos hasta root.
- Los atacantes llegaron por SSH a un servidor VMware ESXi y ejecutaron destroy_v6, pero el informe no precisa qué servicios resultaron afectados.
Check Point investigó intrusiones en equipos de seguridad que seguían sin actualizarse. Los atacantes explotaron PHP2Shell, elevaron privilegios hasta root y llegaron por SSH a un servidor VMware ESXi, donde ejecutaron destroy_v6, un programa diseñado para borrar archivos. La actividad comenzó el 30 de octubre de 2026, cuando ya estaba disponible una corrección para PHP2Shell.
El acceso no terminó en el equipo de seguridad. Check Point encontró una puerta trasera persistente y revisó qué pudo ocurrir antes de la instalación del parche.
PHP2Shell abrió el acceso en Mobile Access
PHP2Shell es una cadena de vulnerabilidades que puede permitir la ejecución remota de código sin autenticación en sistemas vulnerables. Check Point identificó esas fallas como CVE-2026-109618 y CVE-2026-109619.
En los ataques investigados, los atacantes usaron como puerta de entrada el portal Mobile Access de los Security Gateways de Check Point. Después encadenaron CVE-2026-123039, una falla local en la interfaz DynamicCLI de Gaia OS, para elevar sus permisos hasta la cuenta root, con control administrativo sobre el dispositivo.
Por sí sola, CVE-2026-123039 requiere que el atacante ya haya conseguido ejecutar código en el equipo. La cadena tampoco debe confundirse con otra advertencia: antes de este caso, CISA había señalado una combinación de PHP2Shell con Fragnesia, una falla distinta del kernel de Linux. En el caso investigado, Check Point identificó DynamicCLI como la vulnerabilidad utilizada para elevar privilegios.
La puerta trasera y el salto hacia ESXi
Después de obtener privilegios, los atacantes instalaron puertas traseras, incluida TSGA. Su componente TSProxy podía ocultar las conexiones de los operadores mientras el tráfico habitual seguía circulando. Según la investigación de Check Point, TSGA también tenía mecanismos de persistencia relacionados con el arranque, las copias de seguridad y las instantáneas del sistema.
Desde el equipo de seguridad, los atacantes buscaron recursos internos y llegaron por SSH a un servidor VMware ESXi mediante una cuenta de servicio. El informe no explica cómo obtuvieron acceso a esa cuenta.
Ahí ejecutaron destroy_v6, un programa de borrado que elimina archivos del directorio seleccionado y puede intentar sobrescribirlos antes. ESXi permite ejecutar máquinas virtuales en un servidor físico. Si los archivos borrados pertenecían a esas máquinas, el daño puede alcanzar los servicios que dependen de ellas. El informe no especifica qué servicios se vieron afectados en el caso descrito.
Dos oleadas y un alcance que sigue limitado
La primera oleada comenzó el 30 de octubre de 2026 y se dirigió a organizaciones de Israel. Algunos de esos casos incluyeron actividad destructiva.
Check Point detectó una segunda oleada de escaneo el 2 de noviembre. Esa actividad apuntó a organizaciones de varios países y sectores, pero la empresa no observó destrucción de datos durante esa fase.
En su aviso del 12 de noviembre, la compañía afirmó que los incidentes que observó habían comprometido alrededor de dos docenas de sistemas sin parche en una sola región. Esa cifra no permite calcular cuántos equipos pudieron quedar comprometidos en todo el mundo, y los intentos de escaneo no equivalen por sí mismos a intrusiones exitosas.
Durante la fase destructiva, los atacantes dejaron una nota de contenido político. Ese mensaje no aclara quién dirigió la operación ni cuál era su objetivo.
El Jumbo Hotfix y la revisión de accesos
Check Point recomienda instalar el Jumbo Hotfix de noviembre en los servidores de administración y en los Security Gateways, con prioridad para los portales Mobile Access expuestos a internet. La actualización incluye la corrección de PHP2Shell y de la falla de elevación de privilegios usada en esta cadena.
Para los equipos expuestos antes de actualizarse, la empresa publicó indicadores que pueden orientar una investigación. Entre ellos menciona procesos inesperados y huecos sin explicación en los registros de tráfico. Check Point advierte que “la ausencia de una coincidencia no descarta un compromiso”.
En una alerta separada sobre PHP2Shell, el Centro Canadiense de Ciberseguridad recomienda revisar registros, procesos, cuentas y conexiones sospechosas. También plantea considerar el aislamiento de aplicaciones expuestas cuando no sea posible aplicar la corrección de inmediato.
Las pistas no identifican a los responsables
Check Point relacionó TSGA y TSProxy con PhiliKit, una familia de herramientas que ESET había asociado previamente con UNC5221, un grupo al que se atribuyen vínculos con China. La relación se refiere a las herramientas y sus antecedentes; no constituye una identificación concluyente de quienes ejecutaron esta campaña.
La empresa considera posibles varias explicaciones, incluida la participación de un intermediario de acceso o una operación de falsa bandera. Con la evidencia disponible, dice que no puede determinar con alta confianza la naturaleza de la operación.
Para las organizaciones que usaban equipos vulnerables, la revisión debe abarcar tanto el dispositivo de entrada como la posible actividad posterior dentro de la red. La ruta observada está documentada, pero el informe no ofrece una cifra mundial de intrusiones ni confirma qué servicios fueron afectados en ESXi.
