Alerta crítica para usuarios de Check Point: Explotación activa detectada
La compañía de ciberseguridad Check Point ha confirmado recientemente que actores de amenazas están explotando activamente dos vulnerabilidades críticas en sus productos Security Gateway. La más preocupante de ellas, identificada como CVE-2026-85102, permite la ejecución remota de código (RCE) sin necesidad de autenticación previa, lo que supone un riesgo extremo para la integridad de las redes corporativas.
Detalles técnicos de las vulnerabilidades
El informe técnico detalla dos fallos principales que han sido incluidos de inmediato en el catálogo de vulnerabilidades explotadas conocidas (KEV) de la CISA:
- CVE-2026-85102: Un fallo en la gestión de certificados VPN que permite a un atacante ejecutar comandos en el sistema antes de que se produzca cualquier inicio de sesión.
- CVE-2026-93616: Una vulnerabilidad de salto de directorio (path traversal) en el servicio web de gestión, explotada como zero-day desde finales de julio, que facilita la ejecución de scripts y la carga de clases Java maliciosas.
Contexto de los ataques
Según Check Point, los intentos de explotación comenzaron a detectarse de forma masiva a partir del 12 de septiembre de 2026. Los atacantes están utilizando infraestructuras de anonimización, como servicios VPN y proxies, para ocultar su ubicación real. El Centro Nacional de Ciberseguridad de los Países Bajos (NCSC) ya había advertido previamente que la explotación de estos fallos era inminente, instando a las organizaciones a tomar medidas preventivas inmediatas.
Impacto empresarial
Para una organización, un fallo de tipo RCE pre-autenticación en su puerta de enlace de seguridad es uno de los escenarios más peligrosos. Permite que un atacante externo tome el control del dispositivo que precisamente debería proteger la red, sirviendo como puente para el movimiento lateral, el robo de datos o el despliegue de ransomware.
Recomendaciones y mitigación
Desde el departamento de ciberseguridad de Intedya, recomendamos encarecidamente a los administradores de sistemas realizar las siguientes acciones:
- Instalar parches de seguridad: Aplicar de inmediato el Check Point LivePatch Take 26 o las versiones Jumbo Hotfix correspondientes (R81.20 Take 166, R82 Take 126, R82.10 Take 44, o R81.10 Take 190).
- Actualizar firewalls Spark: Los dispositivos Spark deben actualizarse a las versiones R82.00.10 Build 2325 o R81.10.17 Build 4968 o superiores.
- Medidas de contingencia: Si la actualización inmediata no es posible, se recomienda desactivar las reglas implícitas de VPN y crear reglas explícitas que restrinjan el tráfico VPN de sitio a sitio (UDP/500 y UDP/4500) únicamente a direcciones IP de pares conocidos y confiables.
La ciberseguridad proactiva y la gestión de vulnerabilidades son pilares fundamentales para la continuidad del negocio. No demore la aplicación de estas actualizaciones críticas.
Fuentes
- Bleeping Computer — Check Point warns of hackers exploiting Security Gateway VPN RCE flaw
https://www.bleepingcomputer.com/news/security/check-point-warns-of-hackers-exploiting-security-gateway-vpn-rce-flaw/