PHP2Shell, el par de fallas críticas de PHP que ya se usaban en ataques desde octubre, tiene nuevas víctimas: los gateways de seguridad de Check Point, equipos que muchas empresas usan como firewall y acceso remoto.
En algunos casos los atacantes no se quedaron ahí. Saltaron a los servidores de virtualización de la red y borraron su información. Si administras equipos de Check Point o servidores VMware ESXi, esto te interesa.
¿Qué pasó?
El 12 de noviembre de 2026 el equipo de investigación de Check Point publicó un análisis de una campaña contra sus propios Security Gateways que no tenían los parches al día. BleepingComputer lo reportó el 13 de noviembre.
Según ambas fuentes, la primera ola empezó el 30 de octubre contra organizaciones de Israel e incluyó ataques destructivos. Una segunda ola, el 2 de noviembre, alcanzó a empresas de varios países y sectores, aunque en ella no se vio destrucción de datos.
La entrada fue el portal Mobile Access, el que usan los empleados para conectarse desde fuera. Ahí los atacantes aprovecharon PHP2Shell, identificada como CVE-2026-109618 y CVE-2026-109619. Luego usaron una falla de Check Point, la CVE-2026-123039, para escalar privilegios, es decir, pasar de una cuenta limitada a tener control total del equipo como root.
Con ese control instalaron webshells, que son páginas ocultas para dar órdenes al equipo, y una puerta trasera llamada TSGA. Desde el gateway buscaron otros equipos en la red interna, entraron por SSH a servidores VMware ESXi y ejecutaron un programa de borrado llamado destroy_v6, que elimina archivos y deja una nota con mensajes políticos llamada DREAM_ANNEXATION.txt.
¿Por qué te importa?
El gateway es la puerta principal de la red. Si un atacante lo controla, puede moverse hacia adentro sin que nadie lo note, y en este caso llegó hasta los servidores donde corren las máquinas virtuales de la empresa. Un borrado ahí puede detener todos los servicios a la vez.
Check Point señala que los equipos atacados no estaban actualizados, aunque la corrección ya existía desde una semana antes de la primera ola. PHP publicó sus parches de emergencia para PHP2Shell el 21 de octubre, y la lección se repite: los equipos expuestos a internet deben ser los primeros en actualizarse.
Sobre quién está detrás, Check Point encontró parecidos con herramientas que ESET relacionó con un grupo ligado a China, pero aclara que no puede atribuir el ataque con seguridad. Incluso considera posible que se trate de una operación para despistar.
¿Qué puedes hacer?
- Instala las correcciones de seguridad más recientes de Check Point en tus Security Gateways y servidores de administración, empezando por los que tienen el portal Mobile Access abierto a internet.
- Si no usas Mobile Access, considera desactivarlo o limitar desde qué direcciones se puede entrar.
- Pide a tu equipo de seguridad que busque archivos de sesión con el texto upload_progress_pwn y procesos o archivos inesperados llamados CPconfigdaemon en el gateway.
- Revisa si hubo conexiones SSH desde el gateway hacia tus servidores ESXi; si no las autorizaste, son una señal clara de intrusión.
- Ten respaldos de tus máquinas virtuales fuera de la red principal y prueba que puedes restaurarlos.
Sigue leyendo
Fuentes
- Check Point Research: PHP2Shell Exploitation on Check Point Gateway
- BleepingComputer: Check Point gateways hacked via PHP2Shell to deploy VMware ESXi wiper