Fallo de día cero en firewalls Check Point: qué revisar ya
Un fallo de Check Point que da control root sobre los gateways se explota desde finales de octubre. CISA lo incluyó el 13 de noviembre. Qué debe hacer su oficina.
Si el firewall de su oficina es un equipo Check Point, conviene revisarlo esta semana. El 13 de noviembre de 2026, Check Point advirtió que unos atacantes llevan semanas aprovechando un fallo desconocido hasta ahora para tomar el control total de algunos de sus gateways y servidores de administración. Ese mismo día, CISA lo incluyó en su catálogo de vulnerabilidades explotadas activamente. Muchas pequeñas empresas tienen un equipo Check Point que instaló un proveedor hace años y que nadie ha vuelto a revisar. Le explicamos qué pasó y qué comprobar.
Qué ha pasado
El fallo se identifica como CVE-2026-123039. Según BleepingComputer, está en un servicio interno del sistema operativo Gaia de Check Point que acepta órdenes por un socket local sin verificar quién se conecta. Quien ya tenga acceso al equipo puede usarlo para ejecutar comandos como root, el nivel máximo de control. Check Point indica que se explota desde finales de octubre contra lo que describió como un par de docenas de clientes. Entre los productos afectados figuran Security Gateway, Security Management Server, Multi-Domain Security Management Server y Scalable Platforms.
Como el fallo exige acceso local, los atacantes lo combinaron con otra puerta de entrada. Network World informa que primero entraron por el portal Mobile Access, la página de acceso remoto que algunos gateways publican en internet, mediante dos fallos críticos de PHP conocidos como PHP2Shell (CVE-2026-109618 y CVE-2026-109619). Ya con permisos de root, ocultaron web shells en las páginas de inicio de sesión del portal, instalaron malware de puerta trasera que sobrevive a los reinicios, saltaron del firewall a un servidor VMware ESXi de la red interna y, al menos en algunos casos, ejecutaron software diseñado para destruir datos.
La alerta de CISA del 13 de noviembre describe el fallo como una asignación incorrecta de permisos en varios productos de Check Point y pide a todas las organizaciones, no solo a las agencias federales, que le den prioridad.
Por qué importa a una oficina pequeña
El firewall está entre internet y todo lo demás que tiene su empresa. Si el equipo comprometido es precisamente el firewall, las protecciones de sus computadoras ven un tráfico que parece venir de un lugar de confianza. Además, esta cadena de ataque repite un patrón que este año se ha visto en muchas marcas de firewall: un portal de acceso remoto expuesto a internet, un fallo en ese portal y un salto rápido hacia los servidores y las copias de seguridad.
Qué hacer ahora
- Averigüe qué firewall tiene. Mire la etiqueta del equipo o pida a su proveedor de TI la marca, el modelo y la versión del software. Si es Check Point, siga leyendo.
- Aplique el hotfix de Check Point. El fabricante ha publicado correcciones urgentes, descritas en su aviso sk1000362. Empiece por los equipos que tengan el portal Mobile Access accesible desde internet.
- Si no puede actualizar hoy, la medida provisional de Check Point es detener el proceso dynamic_server e impedir que se reinicie. Debe hacerlo su proveedor, porque puede afectar a algunas funciones de la línea de comandos.
- Desactive lo que no use. Si nadie se conecta por Mobile Access, apáguelo. La interfaz de administración del firewall no debe estar abierta a internet.
- Busque señales de intrusión. Pida a quien administre el equipo que ejecute las comprobaciones de registros que publicó Check Point para los gateways expuestos desde finales de octubre. Si algo no cuadra, considere sospechoso el firewall y todo lo que hay detrás, y planifique una reinstalación desde imágenes de confianza.
- Proteja las copias de seguridad y los servidores virtuales. El firewall no debe tener una vía de confianza hacia sus hosts VMware ni hacia el sistema de copias, y al menos una copia debe estar desconectada o ser inmutable.
Cómo podemos ayudarle
Si no tiene claro qué protege su red, nuestro equipo de instalación y administración de redes puede revisar el firewall, aplicar las actualizaciones y cerrar los accesos remotos que no necesite. Para una revisión más amplia, consulte nuestros servicios de ciberseguridad o lea nuestro artículo sobre cuándo una oficina se queda pequeña para su router. Llame al (213) 986-4855.