Los hackers explotan vulnerabilidades de PHP2Shell en las pasarelas de Check Point para desplegar una puerta trasera TSGA y borrar archivos de ESXi.

Se ha detectado un atacante desconocido que atacaba las pasarelas de seguridad Check Point sin parchear para obtener acceso inicial a través de las vulnerabilidades PHP2Shell y, posteriormente, mediante una vulnerabilidad de escalada de privilegios local no reportada previamente en Gaia OS, con el fin de desplegar una puerta trasera denominada TSGA.

La actividad, detallada por Check Point, comenzó el 30 de octubre de 2026 y tuvo como objetivo a organizaciones israelíes. El 2 de noviembre de 2026 se produjo una segunda oleada de ataques que afectó a organizaciones de diversos países y sectores. Algunas de las organizaciones afectadas en la primera oleada también han sufrido acciones destructivas, incluyendo el despliegue de malware de borrado de datos.

"PHP2Shell proporcionó el acceso inicial, seguido de la escalada de privilegios a través de la interfaz DynamicCLI, identificada como CVE-2026-123039", declaró Check Point. "Los atacantes desplegaron posteriormente shells web PHP, la puerta trasera persistente TSGA y su componente de red TSProxy integrado".

Los atacantes se conectaron desde la puerta de enlace a un host VMware ESXi mediante SSH, desplegaron el programa de borrado destroy_v6 y dejaron notas con temática política en el archivo DREAM_ANNEXATION.txt durante la fase destructiva.

La vulnerabilidad CVE-2026-123039 (puntuación CVSS: 7.8) es una falla de autorización faltante que podría permitir la escalada de privilegios a root en el proceso DynamicCLI, lo que permitiría a cualquier usuario local autenticado ejecutar comandos arbitrarios mediante una sola solicitud al socket.

"El problema consiste en una escalada de privilegios local y requiere que el atacante ya tenga permisos de ejecución de código local en el dispositivo", declaró Check Point, añadiendo que "observó una explotación activa de esta vulnerabilidad contra varias decenas de clientes".