Múltiples vulnerabilidades en productos de Check Point

Fecha de publicación 13/11/2026

Identificador

INCIBE-2026-864

Importancia

5 - Crítica

Recursos Afectados

PHP2Shell. Check Point Security Gateways, incluidos Force Firewalls y Cloud Firewalls, de R80 a R82.20 con interfaces web vulnerables. También afecta a Spark Firewalls de las ramas R77.20.x, R80.20.x, R81.10.x y R82.00.x. La exposición depende de los servicios habilitados y de las correcciones instaladas.
Gaia, servicio DynamicCLI. Security Gateways, servidores de gestión, servidores multidominio y servidores de registro con Gaia R81.20, R82, R82.10 o R82.20 sin la corrección. El aviso técnico del fabricante también señala versiones anteriores desde R80.30.
Gaia Portal. Security Gateways, servidores de gestión, servidores multidominio y servidores de registro con Gaia R81.20, R82 o R82.10 sin la corrección.
Scalable Platforms. ElasticXL, Maestro y Chassis con R81.20 o R82 sin la corrección.

Descripción

Check Point ha publicado un boletín sobre 5 vulnerabilidades, 2 de severidad crítica, 2 altas y 1 baja, en sus productos de seguridad.

Check Point Research observó ataques entre el 30 de octubre y el 4 de noviembre contra Security Gateways sin parche con el portal Mobile Access expuesto a Internet. Los atacantes explotaron PHP2Shell para obtener acceso inicial y un fallo de DynamicCLI para conseguir privilegios de root y mantener el acceso.

Solución

Instalar cuanto antes el Jumbo Hotfix Accumulator de noviembre en los servidores de gestión y Security Gateways afectados. Priorizar los equipos con el portal Mobile Access expuesto a Internet.

Para Spark Firewalls, instalar la versión que incorpore la corrección de PHP2Shell para el modelo. Consultar el boletín sk1000302 y el listado de versiones de Spark Firewalls.

Si se debe aplazar la actualización de Gaia y se puede prescindir de DynamicCLI, Check Point indica detener dynamic_server e impedir su reinicio según el procedimiento de mitigación de sk1000362.

Revisar los indicadores de compromiso de Check Point Research e investigar cualquier coincidencia.

Detalle

CVE-2026-109618: un fallo al gestionar el agotamiento de memoria durante el procesamiento de una petición en PHP puede dejar memoria sin inicializar. Un atacante remoto sin autenticar podría ejecutar código a través de una interfaz web vulnerable.
CVE-2026-109619: PHP puede conservar referencias a memoria de una petición después de liberarla. Si una petición posterior reutiliza ese estado, un atacante remoto sin autenticar podría ejecutar código.
CVE-2026-123039: el servicio DynamicCLI de Gaia acepta conexiones sin autenticar en un socket local en el que cualquier usuario puede escribir. Un atacante con acceso local puede ejecutar comandos con privilegios de root.

CVE