PHP2Shell en gateways Check Point: root, backdoor TSGA y wiper contra ESXi

Check Point confirmó que atacantes están explotando las fallas conocidas como PHP2Shell en Security Gateways sin parchar, las encadenan con una escalada local a root en Gaia OS, instalan el backdoor TSGA y, en al menos un caso, llegaron a un host VMware ESXi donde desplegaron un wiper. Los fixes existen desde el 23 de octubre, pero la explotación comenzó una semana después.

PHP2Shell agrupa dos vulnerabilidades, CVE-2026-109618 y CVE-2026-109619, con CVSS v4.0 de 9.2. Permiten ejecución remota de código sin autenticación a través de las interfaces web del firewall. Según el aviso de Check Point, están en alcance los Security Gateways con Mobile Access Portal (versiones R80 a R82.20) y ciertos Spark Firewalls. Conviene validar la lista exacta de versiones contra el aviso oficial.