Atacantes usan los fallos PHP2Shell para entrar en pasarelas de Check Point y borrar datos

La empresa de ciberseguridad Check Point ha informado de que unos atacantes han aprovechado los fallos conocidos como PHP2Shell para entrar en sus pasarelas de seguridad (Security Gateway) y, en una parte de los casos, desplegar un programa que borra datos, según recogen BleepingComputer y SecurityWeek, que citan el análisis de la compañía publicado el 13 de noviembre.

Según Check Point, hubo dos oleadas. La primera empezó el 30 de octubre contra organizaciones israelíes: los atacantes entraron por el portal Mobile Access de las pasarelas, obtuvieron privilegios de administrador con un fallo hasta entonces desconocido (CVE-2026-123039), instalaron puertas traseras y saltaron a servidores VMware ESXi, donde ejecutaron un borrador de datos. La segunda, desde el 2 de noviembre, afectó a empresas de varios países y sectores y, según la compañía, no incluyó borrado de datos.

PHP2Shell es el nombre de dos fallos críticos de PHP (CVE-2026-109618 y CVE-2026-109619) que permiten ejecutar código a distancia sin autenticarse. PHP los corrigió con parches de urgencia el 21 de octubre, y la agencia estadounidense CISA los añadió el 26 de octubre a su catálogo de vulnerabilidades explotadas, según BleepingComputer.

Check Point relaciona de forma provisional las herramientas usadas con otras vistas antes en ataques atribuidos a un grupo vinculado a China, pero dice que las pruebas no permiten atribuir la campaña con confianza: según la empresa, el actor pudo llevarla entera, actuar solo como intermediario de accesos o participar en una operación de bandera falsa. Los atacantes dejaron una nota con mensajes políticos que rechaza negociar un rescate.

La compañía recomienda instalar la actualización November Jumbo Hotfix en servidores de gestión y pasarelas, empezando por las que tienen el portal Mobile Access expuesto a internet, y revisar indicios de intrusión en los equipos que estuvieron expuestos. No se ha publicado cuántas organizaciones resultaron afectadas.