Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en productos de Check Point

Resumen de la alerta

Check Point ha publicado correcciones para cinco vulnerabilidades en distintos productos de seguridad. El conjunto incluye dos fallos de severidad crítica, dos de severidad alta y uno de severidad baja.

La prioridad es elevada para los Security Gateways que tengan el portal Mobile Access accesible desde Internet. Check Point Research detectó ataques entre el 30 de octubre y el 4 de noviembre contra equipos sin parche en esta condición. Según la información disponible, los atacantes emplearon PHP2Shell para obtener acceso inicial y posteriormente abusaron de un problema en DynamicCLI para conseguir privilegios de root y mantener el acceso.

Las vulnerabilidades con explotación confirmada en el aviso son CVE-2026-109618, CVE-2026-109619 y CVE-2026-123039.

Recursos afectados

• PHP2Shell: Check Point Security Gateways, incluidos Force Firewalls y Cloud Firewalls, desde R80 hasta R82.20 que dispongan de interfaces web vulnerables. También afecta a Spark Firewalls de las ramas R77.20.x, R80.20.x, R81.10.x y R82.00.x. La exposición depende de los servicios habilitados y de las correcciones instaladas.
• Gaia DynamicCLI: Security Gateways, servidores de gestión, servidores multidominio y servidores de registro con Gaia R81.20, R82, R82.10 o R82.20 sin la corrección correspondiente. El aviso técnico del fabricante también contempla versiones anteriores desde R80.30.
• Gaia Portal: Security Gateways, servidores de gestión, servidores multidominio y servidores de registro con Gaia R81.20, R82 o R82.10 sin aplicar la corrección.
• Scalable Platforms: entornos ElasticXL, Maestro y Chassis con R81.20 o R82 sin la corrección.

Descripción de las vulnerabilidades

Dos de las vulnerabilidades críticas están relacionadas con el procesamiento de solicitudes en PHP y se agrupan bajo el nombre PHP2Shell. Ambas pueden afectar a interfaces web vulnerables y permitir la ejecución de código por parte de un atacante remoto sin autenticación.

• CVE-2026-109618: un error en la gestión del agotamiento de memoria durante el tratamiento de una petición puede dejar memoria sin inicializar. Un atacante remoto no autenticado podría aprovechar una interfaz web vulnerable para ejecutar código.
• CVE-2026-109619: PHP puede conservar referencias a memoria asociada a una solicitud incluso después de haber sido liberada. Si una petición posterior reutiliza ese estado, un atacante remoto no autenticado podría ejecutar código.

El tercer fallo detallado corresponde a DynamicCLI, un servicio de Gaia:

• CVE-2026-123039: DynamicCLI acepta conexiones sin autenticación mediante un socket local sobre el que cualquier usuario puede escribir. Un atacante que ya disponga de acceso local al sistema podría ejecutar comandos con privilegios de root.

La ejecución remota de código implica la posibilidad de que un atacante ejecute acciones en el equipo afectado a través de la interfaz vulnerable. Por su parte, una escalada local de privilegios requiere acceso previo al sistema, pero puede permitir elevar dicho acceso hasta el nivel de administración más alto.

Impacto y nivel de riesgo

El riesgo más inmediato se concentra en los Security Gateways sin parche que expongan el portal Mobile Access a Internet. En los ataques observados, la combinación de PHP2Shell y el fallo de DynamicCLI permitió obtener acceso inicial y elevar privilegios hasta root, además de mantener el acceso al dispositivo.

La explotación de CVE-2026-109618 y CVE-2026-109619 no requiere autenticación, siempre que exista una interfaz web vulnerable expuesta. En cambio, CVE-2026-123039 requiere que el atacante tenga acceso local al sistema antes de poder ejecutar comandos como root.

La explotación activa está confirmada para los tres CVE indicados en el aviso. No obstante, la información facilitada no atribuye los ataques a un actor concreto ni detalla indicadores de compromiso específicos.

Solución y medidas recomendadas

Check Point recomienda instalar con la mayor brevedad posible el Jumbo Hotfix Accumulator de noviembre en los Security Gateways y servidores de gestión afectados. Deben priorizarse los sistemas con Mobile Access expuesto a Internet.

• R82.20: Take 14.
• R82.10: Take 52.
• R82: Take 132.
• R81.20: Take 174.

En el caso de Spark Firewalls, debe instalarse la versión que incluya la corrección de PHP2Shell aplicable al modelo concreto. Check Point remite al boletín sk1000302 y al listado de versiones de Spark Firewalls.

Si la actualización de Gaia debe aplazarse y la organización puede prescindir de DynamicCLI, Check Point indica detener dynamic_server e impedir su reinicio conforme al procedimiento de mitigación recogido en sk1000362.

Recomendaciones para organizaciones afectadas

1. Identificar los Security Gateways, Firewalls, servidores de gestión, servidores multidominio y servidores de registro incluidos en las versiones afectadas.
2. Priorizar la actualización de los dispositivos con el portal Mobile Access accesible desde Internet.
3. Aplicar el Jumbo Hotfix Accumulator de noviembre correspondiente a la versión de Gaia desplegada.
4. Actualizar los Spark Firewalls a la versión corregida disponible para cada modelo.
5. Cuando no sea posible actualizar Gaia de inmediato, valorar la mitigación oficial de DynamicCLI únicamente si el servicio puede deshabilitarse sin afectar a la operativa necesaria.
6. Revisar los indicadores de compromiso publicados por Check Point Research e investigar cualquier coincidencia detectada en los sistemas afectados.