El INCIBE-CERT ha alertado de cinco vulnerabilidades, dos críticas, en los productos de seguridad de Check Point, con explotación activa confirmada.
EN 30 SEGUNDOS
- ¿Qué ha ocurrido? El INCIBE-CERT publica el aviso INCIBE-2026-864 sobre cinco vulnerabilidades en productos Check Point: dos críticas, dos altas y una baja, con explotación confirmada de los tres CVE identificados.
- ¿Dónde y cuándo? Aviso emitido el viernes 13 de noviembre de 2026; los ataques observados por Check Point Research se produjeron entre el 30 de octubre y el 4 de noviembre.
- ¿Qué riesgo? Ejecución remota de código sin autenticar en pasarelas con el portal Mobile Access expuesto a Internet y escalada a privilegios de root a través del servicio DynamicCLI de Gaia.
Del PHP2Shell al privilegio de root: la cadena de ataque del aviso INCIBE-2026-864
El boletín del fabricante, recogido por INCIBE-CERT en el aviso INCIBE-2026-864, publicado el viernes 13 de noviembre de 2026, documenta cinco fallos: dos de severidad crítica, dos altas y uno bajo. El listado del aviso marca los tres CVE identificados —dos críticos y uno alto— con explotación confirmada: CVE-2026-109618, CVE-2026-109619 y CVE-2026-123039.
Los dos fallos críticos afectan al procesamiento de peticiones PHP y permiten a un atacante remoto sin autenticar ejecutar código a través de una interfaz web vulnerable. CVE-2026-109618 describe un error en la gestión del agotamiento de memoria que deja memoria sin inicializar. CVE-2026-109619, una referencia a memoria que se conserva después de liberarla y que una petición posterior puede reutilizar. Ambos se agrupan bajo el nombre PHP2Shell.
La tercera, CVE-2026-123039, es de severidad alta y de naturaleza distinta: el servicio DynamicCLI de Gaia acepta conexiones sin autenticar en un socket local en el que cualquier usuario puede escribir. Un atacante con acceso local previo puede ejecutar comandos con privilegios de root y consolidar así su presencia en la red.
La secuencia observada por Check Point Research confirma ese encadenamiento. Entre el 30 de octubre y el 4 de noviembre de 2026, los atacantes golpearon pasarelas sin parche con el portal Mobile Access expuesto a Internet, usaron PHP2Shell para el acceso inicial y DynamicCLI para elevar privilegios. Tres CVE con explotación activa en un intervalo de seis días.
La cadena combina ejecución remota de código sin credenciales con una escalada local a root, el patrón que convierte una brecha puntual en un acceso persistente.
La exposición depende de los servicios habilitados y de las correcciones instaladas, subraya el aviso. En las Security Gateways —incluidas las Force Firewalls y las Cloud Firewalls— el rango afectado va de R80 a R82.20 con interfaces web vulnerables. Los Spark Firewalls lo están en las ramas R77.20.x, R80.20.x, R81.10.x y R82.00.x.
El resto de superficies se reparte así: Gaia DynamicCLI afecta a Security Gateways, servidores de gestión, multidominio y de registro con R81.20, R82, R82.10 o R82.20 sin la corrección, y el boletín del fabricante extiende el aviso a versiones anteriores desde R80.30. Gaia Portal comprende R81.20, R82 y R82.10. Las plataformas ElasticXL, Maestro y Chassis quedan expuestas en R81.20 o R82.
Jumbo Hotfix de noviembre: las versiones corregidas que cierran la brecha
La recomendación del organismo es directa: instalar cuanto antes el Jumbo Hotfix Acumulator de noviembre en los servidores de gestión y en las Security Gateways afectadas, y priorizar los equipos con el portal Mobile Access expuesto a Internet. Las versiones corregidas son R82.20 Take 14, R82.10 Take 52, R82 Take 132 y R81.20 Take 174.
En los Spark Firewalls hay que instalar la versión que incorpore la corrección de PHP2Shell para cada modelo, según el listado del fabricante. Si la actualización de Gaia debe aplazarse y se puede prescindir de DynamicCLI, Check Point indica detener dynamic_server e impedir su reinicio conforme al procedimiento de mitigación del boletín sk1000362.
El aviso completa la instrucción con una tarea de investigación: revisar los indicadores de compromiso publicados por Check Point Research y comprobar cualquier coincidencia en los registros de los equipos expuestos. Las referencias técnicas del fabricante son el boletín sk1000302 y el listado de versiones de Spark Firewalls.
El panorama de la ciberseguridad
Los equipos de borde —pasarelas, firewalls y concentradores de VPN— son el objetivo preferente del cibercrimen porque son la frontera entre la red corporativa e Internet. Un fallo en esa capa no exige credenciales: basta con alcanzar el servicio expuesto. Los dos CVE críticos de este aviso responden a ese patrón y su explotación activa sitúa la ventana de actualización como el factor decisivo.
El volumen de trabajo del organismo permite dimensionar la amenaza. Los balances anuales del INCIBE-CERT sitúan por encima de 100.000 incidentes de ciberseguridad los gestionados cada año en España, con peso creciente de las vulnerabilidades en equipos de borde, y sus avisos de alerta temprana se publican de forma continuada a lo largo del año. A esa actividad se suma la del CCN-CERT, el equipo de respuesta del Centro Criptológico Nacional, dependiente del CNI, que protege las infraestructuras críticas y las administraciones públicas.
La investigación permanece abierta en dos frentes. El primero es la revisión de los indicadores de compromiso en las instalaciones que hayan estado accesibles desde Internet con el portal Mobile Access habilitado. El segundo, la aplicación escalonada de las takes: los equipos que no puedan actualizarse de inmediato conservan la mitigación temporal de DynamicCLI. El aviso seguirá vigente hasta que el fabricante confirme el cierre de los cinco fallos y, mientras tanto, la recomendación de parchear se mantiene firme.
