El firewall era la puerta: un zero-day de Check Point da root a los atacantes, planta el backdoor TSGA y borra servidores ESXi

El aparato encargado de cerrar la puerta era la puerta. Check Point ha confirmado una campaña contra sus Security Gateways sin parchear que encadena dos fallos: primero PHP2Shell (CVE-2026-109618 y CVE-2026-109619) en el portal Mobile Access, y después un zero-day hasta ahora no publicado, CVE-2026-123039, que escala hasta root en Gaia OS. Con ese control total, los atacantes instalan una puerta trasera hecha a medida y, en los casos destructivos, saltan a los servidores de virtualización para borrarlos.

El zero-day es el eslabón nuevo. El demonio DynamicCLI de Gaia OS corre como root y escucha en un socket local que cualquier proceso puede escribir sin autenticarse: un usuario local puede enviarle una orden y verla ejecutada como root. Su nota es 7,8 sobre 10 porque exige acceso local previo, justo el que PHP2Shell regala. Afecta a las versiones R81 a R82.20 de sus productos principales, y Check Point dice haber observado su explotación activa contra un par de docenas de clientes.

La actividad empezó el 30 de octubre contra organizaciones israelíes, con actividad destructiva contra algunas, y el 2 de noviembre se amplió a una segunda oleada oportunista en varios países. Todo una semana después de que existiera arreglo para PHP2Shell, que CISA ya había sumado a su catálogo de explotadas el 26 de octubre: cada gateway comprometido es un parche disponible que no se aplicó.

Dentro, la intrusión no se queda en una webshell. Los atacantes despliegan TSGA, un implante pasivo específico para Check Point que ofrece acceso remoto cifrado, robo de configuración, persistencia mediante copias y snapshots y manipulación de los registros del firewall, junto a su componente TSProxy. Desde el gateway escanean la red interna y, en la fase destructiva, entran por SSH en un host VMware ESXi y ejecutan el wiper destroy_v6, que sobrescribe los archivos con ceros antes de borrarlos y deja una nota política llamada DREAM_ANNEXATION.txt. Check Point vincula las herramientas con el marco PhiliKit, de ataques anteriores contra aparatos Ivanti, pero advierte de que no tiene evidencia suficiente para atribuir esta campaña con confianza alta.

La respuesta ya está sobre la mesa: hay hotfixes de emergencia y, para quien no pueda aplicarlos ya, una mitigación temporal: detener el proceso dynamic_server e impedir que se reinicie. La compañía ha publicado además los indicadores de compromiso para buscar el implante. Si tu red se protege con un gateway de Check Point, la comprobación no es opcional.