MagnoSec Blog
Check Point, PHP2Shell y la puerta trasera TSGA: qué significa para las empresas españolas
Una campaña con acceso inicial y escalada de privilegios
Un actor de amenazas desconocido ha estado atacando pasarelas de seguridad Check Point que no estaban parcheadas para obtener acceso inicial a través de las vulnerabilidades PHP2Shell. Según ha detallado Check Point, después de ese acceso inicial el atacante aprovechó una vulnerabilidad de escalada local de privilegios en Gaia OS que hasta ahora no se había reportado. El resultado fue el despliegue de una puerta trasera denominada TSGA y el borrado de archivos en sistemas ESXi.
Pasarelas Check Point como superficie crítica expuesta
La actividad, según el fabricante, comenzó el 30 de octubre de 2026 y se dirigió contra organizaciones israelíes, con un seguimiento posterior de mayor alcance. Es decir, no se trata de un incidente aislado ni de un solo objetivo, sino de una campaña con capacidad de continuar. El hecho de que se encadenen varios fallos distintos, uno de acceso inicial y otro de elevación de privilegios no publicado, indica un trabajo previo de reconocimiento y explotación más que un ataque oportunista.
Puerta trasera TSGA y destrucción en ESXi
Para una empresa española, la lectura directa es que cualquier organización con pasarelas Check Point expuestas y sin actualizar debe tratarlas como superficie crítica. Estas pasarelas son el punto de entrada y salida de la red y, por tanto, un objetivo de alto valor para un atacante. Si además hay infraestructura ESXi en el entorno, el riesgo de impacto aumenta, porque lo observado incluye el borrado de archivos en esos sistemas.
De la persistencia al sabotaje en la infraestructura
El daño no se limita al acceso: la combinación de una puerta trasera con acciones destructivas sobre ESXi apunta a un escenario de persistencia y sabotaje al mismo tiempo. La puerta trasera permitiría al atacante mantener presencia aunque se cierre el vector inicial. Por eso, parchear no basta como única respuesta: es necesario comprobar si ya ha habido actividad previa en los sistemas afectados.
Revisar el parcheo de Gaia OS y la exposición real
La primera revisión recomendable es el inventario y el estado de parcheo de las pasarelas Check Point, en particular las que están expuestas a internet. Conviene contrastar la versión de Gaia OS con las actualizaciones publicadas por el fabricante y priorizar las que corrigen los fallos descritos. No se trata de aplicar todo sin criterio, sino de identificar exposición real y actuar primero donde el riesgo es mayor.
Auditoría, pentesting y detección de la intrusión
En paralelo, tiene sentido revisar las huellas que dejaría una intrusión de este tipo: accesos anómalos a las pasarelas, creación de cuentas o cambios de configuración no previstos, y actividad sospechosa sobre los sistemas ESXi, como borrados o alteraciones de archivos. La detección temprana marca la diferencia entre un incidente contenido y uno con pérdida de datos. Las organizaciones que quieran anticiparse pueden apoyarse en una auditoría de su superficie expuesta y en ejercicios de pentesting sobre los accesos perimetrales y la infraestructura de virtualización.
Temas tratados
Check Point · PHP2Shell · TSGA · Gaia OS · ESXi · puerta trasera · ciberseguridad ofensiva
Preguntas frecuentes
¿Qué es PHP2Shell y por qué se menciona en esta campaña?
PHP2Shell es el conjunto de vulnerabilidades que el atacante utilizó para obtener acceso inicial en pasarelas Check Point sin parchear. Según el fabricante, a partir de ahí se encadenó una escalada local de privilegios en Gaia OS para desplegar la puerta trasera TSGA.
¿A qué organizaciones ha afectado la actividad?
Según la información publicada, la actividad comenzó el 30 de octubre de 2026 y se dirigió contra organizaciones israelíes, con un seguimiento posterior de mayor alcance. No se detallan en la noticia otras víctimas ni atribuciones a un grupo concreto.
¿Cómo se puede saber si mi empresa ha sido comprometida?
Hay que revisar indicios en las pasarelas Check Point, como accesos anómalos, cambios de configuración o cuentas no previstas, y comprobar la actividad sobre los sistemas ESXi, incluidos borrados o alteraciones de archivos. La combinación de ambos focos es la señal más relevante en este caso.
¿Basta con aplicar los parches disponibles?
Parchear es necesario, pero no suficiente si el compromiso ya se ha producido. La puerta trasera TSGA está diseñada para mantener la presencia, por lo que conviene comprobar antes si ha habido actividad previa y, en su caso, actuar sobre la persistencia y no solo sobre el vector inicial.
Servicios de ciberseguridad
Pentesting Web para Empresas
Pentesting web y hacking ético de aplicaciones y APIs según OWASP WSTG. Detectamos SQL Injection, XSS y fallos de autenticación. Informe con CVSS y remediación.
Pentesting Móvil y Auditoría de Apps
Pentesting de apps Android e iOS: análisis estático y dinámico, almacenamiento, comunicaciones y autenticación. Basado en OWASP MSTG, con informe y re-test.
Red Team y Simulación de Ataques Reales
Ejercicios Red Team con simulación realista de adversario. Basado en MITRE ATT&CK. Evaluamos detección, respuesta y contención. Incluye sesión Purple Team.
Auditoría de Red e Infraestructura
Auditoría de infraestructura tecnológica: redes internas y externas, servidores y firewalls. Hallazgos con CVSS y plan de remediación. PTES y OSSTMM.
Auditoría de Active Directory
Auditoría de Active Directory: identificación de vectores de escalado, Kerberoasting, BloodHound, ACLs abusivas. Protege el núcleo de tu identidad corporativa.
Auditoría de Servicios Cloud
Auditoría de seguridad cloud en AWS, Azure y GCP. Revisión de IAM, almacenamiento, red, monitorización. Basado en CIS Cloud Benchmarks. Informe CVSS.
Auditoría WiFi para Empresas
Auditoría de redes WiFi corporativas. War driving, rogue AP, WPA2/WPA3 Enterprise, 802.1X. Detectamos configuraciones débiles y accesos no autorizados.
Auditoría de Código Fuente
Auditoría de código de aplicaciones: revisión manual (code review) y SAST para detectar vulnerabilidades OWASP/CWE en cualquier lenguaje. Alcance y precio.
Ingeniería Social
Auditoría de ingeniería social: phishing, pretexting y USB drops. Evaluamos el factor humano con campañas controladas, informe y concienciación.
Desarrollo Seguro
Desarrollo seguro de aplicaciones web y móviles: Security by Design, DevSecOps y CI/CD con SAST/DAST. Software protegido desde la primera línea de código.
Auditoría de Seguridad para MVP y Startups
Auditoría de seguridad para MVP y startups: autenticación, control de acceso, APIs, Supabase/RLS y cloud. Revisión corta y priorizada antes de lanzar.
¿Quieres saber si tu empresa tiene estas vulnerabilidades?
Auditamos la seguridad de empresas de toda España con alcance cerrado por escrito, informe técnico y ejecutivo, y retest de las correcciones. Presupuesto en 24 horas y primera consultoría sin coste. Si no sabes por dónde empezar, haz el test de seguridad de 15 preguntas.
Artículos relacionados
agosto 2026
ShieldBreak: El Zero-Day que Burló a Microsoft Defender para Obtener Acceso SYSTEM y que Vuelve a Poner en Jaque la Seguridad de Windows
julio 2026
Cómo Preparar tu Empresa para una Auditoría de Seguridad: Guía Paso a Paso
julio 2026
Los Zero-Days de SonicWall SMA1000 Bajo Ataque: Malware Personalizado se Cuela por la Puerta de Acceso Remoto
Recursos gratuitos
Guía completa
Guía de Pentesting Web: Metodología, Herramientas y Precios
Herramienta interactiva
Checklist de Seguridad Informática para Empresas
Referencia
Glosario de Ciberseguridad: 60+ Términos
Guía 2026
Certificaciones de Ciberseguridad: Precios y Comparativa
Herramienta
Calculadora de Precio de Pentesting
Cumplimiento
Pentesting para ISO 27001 y ENS: Qué Exige la Norma