Atacantes aprovecharon las fallas conocidas como PHP2Shell para entrar en equipos de seguridad de Check Point que no habían sido actualizados. En una intrusión investigada por la compañía, avanzaron hasta un servidor VMware ESXi y ejecutaron un programa diseñado para borrar archivos.
Check Point informó que la actividad comenzó el 30 de octubre de 2026, cuando ya estaba disponible una corrección para PHP2Shell en sus productos. En la intrusión que describió, la empresa encontró una puerta trasera persistente, una razón para investigar qué pudo ocurrir antes de instalar el parche.
Del equipo de seguridad al servidor de la red
Las dos vulnerabilidades de PHP2Shell, identificadas como CVE-2026-109618 y CVE-2026-109619, pueden permitir la ejecución remota de código sin autenticación en sistemas vulnerables. En los ataques investigados, la puerta de entrada fue el portal Mobile Access de los Security Gateways de Check Point.
Los atacantes encadenaron ese acceso con una falla diferente, CVE-2026-123039, en la interfaz DynamicCLI de Gaia OS. Esa vulnerabilidad local permitió elevar los permisos hasta la cuenta root, con control administrativo sobre el dispositivo. Por sí sola, requiere que el atacante ya haya conseguido ejecutar código en el equipo.
La distinción importa porque PHP2Shell también se ha relacionado con otras cadenas de ataque. Antes de este caso, CISA había advertido de una combinación con Fragnesia, una falla del kernel de Linux distinta de la que Check Point identificó en DynamicCLI.
Gerardo Pavez
Después de obtener privilegios, los atacantes instalaron puertas traseras, incluida una llamada TSGA. Su componente TSProxy podía ocultar conexiones de los operadores mientras el tráfico habitual seguía circulando. Según la investigación de Check Point, TSGA también contaba con mecanismos de persistencia relacionados con el arranque, las copias de seguridad y las instantáneas del sistema.
Desde el equipo de seguridad, los atacantes buscaron recursos internos y llegaron por SSH a un servidor VMware ESXi mediante una cuenta de servicio. Allí ejecutaron destroy_v6, un programa de borrado que elimina archivos en el directorio seleccionado y puede intentar sobrescribirlos antes. El informe no explica cómo obtuvieron acceso a esa cuenta.
ESXi permite ejecutar máquinas virtuales en un servidor físico. Si los archivos borrados pertenecen a esas máquinas, el daño puede alcanzar los servicios que dependen de ellas. El informe no especifica qué servicios se vieron afectados en el caso descrito.
Dos oleadas y un alcance que sigue limitado
La primera oleada comenzó el 30 de octubre y se dirigió a organizaciones de Israel. Algunos de esos casos incluyeron actividad destructiva. Una segunda oleada de escaneo, detectada el 2 de noviembre, apuntó a organizaciones de varios países y sectores; en ella, Check Point no observó destrucción de datos.
En su aviso del 12 de noviembre, la compañía afirmó que alrededor de dos docenas de sistemas sin parche fueron comprometidos en una sola región durante los incidentes que observó. La cifra no permite calcular cuántos equipos pudieron quedar comprometidos en todo el mundo, y los intentos de escaneo no equivalen por sí mismos a intrusiones exitosas.
Durante la fase destructiva, los atacantes dejaron una nota de contenido político. La existencia del mensaje no aclara quién dirigió la operación ni cuál era su objetivo.
El parche y la revisión de accesos previos
Check Point recomienda instalar el Jumbo Hotfix de noviembre en los servidores de administración y Security Gateways, dando prioridad a los portales Mobile Access expuestos a internet. La actualización incluye la corrección de PHP2Shell y la de la falla de elevación de privilegios utilizada en la cadena.
Para los equipos que estuvieron expuestos antes de actualizarse, la empresa publicó indicadores que pueden orientar una investigación. Entre ellos menciona procesos inesperados y huecos sin explicación en los registros de tráfico. La compañía advierte que "la ausencia de una coincidencia no descarta un compromiso".
En una alerta separada sobre PHP2Shell, el Centro Canadiense de Ciberseguridad recomienda revisar registros, procesos, cuentas y conexiones sospechosas. También plantea considerar el aislamiento de aplicaciones expuestas cuando no sea posible aplicar la corrección de inmediato.
Las pistas no identifican a los responsables
Check Point relacionó TSGA y TSProxy con PhiliKit, una familia de herramientas que ESET había asociado previamente con UNC5221, un grupo al que se atribuyen vínculos con China. Esa relación se refiere a las herramientas y sus antecedentes, no constituye una identificación concluyente de quienes ejecutaron esta campaña.
La empresa considera posibles varias explicaciones, incluida la participación de un intermediario de acceso o una operación de falsa bandera. Con la evidencia disponible, dice, no puede determinar con alta confianza la naturaleza de la operación. Para las organizaciones que usaban equipos vulnerables, la revisión debe abarcar tanto el dispositivo de entrada como la posible actividad posterior dentro de la red.
Gerardo Pavez
