Dos vulnerabilidades que afectan a productos de Check Point y a UnrealIRCd figuran ahora en el catálogo de vulnerabilidades explotadas conocidas (KEV) de CISA, tras detectarse pruebas de explotación activa. La alerta del 13 de noviembre de 2026 de la agencia convierte la remediación en una prioridad para las organizaciones afectadas, incluidos los operadores de pasarelas Check Point que enfrentan una cadena de ataques reportada que ha provocado la destrucción de datos.
La vulnerabilidad de Check Point, CVE-2026-123039, permite a un atacante que ya tiene acceso local autenticado con privilegios bajos tomar el control como root. La vulnerabilidad de UnrealIRCd, CVE-2026-114713, permite a un usuario común de IRC ejecutar comandos con autoridad de nivel servidor en redes que contengan al menos dos servidores enlazados. Ambas tienen calificaciones CVSS de gravedad alta; la razón de su inclusión en KEV es la evidencia de explotación de CISA.
La escalada en Check Point sigue al compromiso de un portal
En el caso de Security Gateways y productos de Security Management de Check Point, el componente vulnerable es el daemon DynamicCLI de Gaia OS. Security Affairs informa de que el daemon se ejecuta como root, pero acepta conexiones a través de /tmp/dynamic_socket, un socket Unix local con escritura para cualquier usuario. La autenticación insuficiente de los procesos que se conectan permite a un atacante local con privilegios bajos ejecutar comandos arbitrarios como root. CVE-2026-123039 tiene una puntuación CVSS de 7,8.
Los ataques reportados contra pasarelas sin parchear combinan esta escalada con un punto de entrada separado. Citando a Check Point Research, Security Affairs describe que los atacantes explotan las vulnerabilidades PHP2Shell, CVE-2026-109618 y CVE-2026-109619, a través del portal Mobile Access, y luego usan CVE-2026-123039 para obtener privilegios de root.
Tras obtener ese control, los atacantes instalan webshells y la puerta trasera TSGA para mantener el acceso, y después se desplazan a redes internas. Algunos ataques también han usado el malware de borrado destroy_v6 contra hosts VMware ESXi para eliminar datos.
Las organizaciones israelíes fueron los objetivos iniciales de la campaña el 30 de octubre de 2026, y algunas sufrieron ataques destructivos. Una segunda oleada, que comenzó el 2 de noviembre, alcanzó a organizaciones de varios países y sectores.
Security Affairs también recoge la cautela de Check Point sobre la atribución. Similitudes de código e infraestructura vinculan el malware con PhiliKit, un framework asociado anteriormente al actor vinculado a China UNC5221, pero Check Point considera que las pruebas son insuficientes para atribuir toda la campaña a ese grupo. La colaboración entre actores y una operación de bandera falsa siguen siendo explicaciones posibles.
UnrealIRCd expone operaciones privilegiadas de IRC
El rango afectado de UnrealIRCd comienza en la versión 6.0.0 y termina antes de la 6.2.7.1. CVE-2026-114713, con una puntuación de 8,6 en la escala CVSS, afecta al módulo labeled-response del servidor IRC de código abierto.
El módulo incorpora una etiqueta de mensaje label de IRCv3 en las respuestas del servidor sin sanearla adecuadamente. Un atacante puede usar esa etiqueta para introducir caracteres de nueva línea y comandos adicionales en el tráfico intercambiado entre servidores. Con al menos dos servidores enlazados, un usuario no necesita privilegios especiales para que esos comandos se procesen con autoridad de nivel servidor.
Esa autoridad podría permitir el control administrativo de la red IRC, incluida la desconexión o el bloqueo de usuarios, la manipulación de usuarios y canales, y la interrupción del servicio. Security Affairs indica que el mantenedor de UnrealIRCd confirmó intentos de explotación en internet poco después de la divulgación, sin que se haya identificado públicamente ningún atacante ni una conexión confirmada con una campaña concreta o con un motivo económico.
Priorizar la remediación y evaluar el compromiso
La alerta de CISA remite a las agencias federales a la Directiva Operativa Vinculante 26-04. Exige a las agencias de la Rama Ejecutiva Civil Federal (FCEB) que prioricen la remediación rápida de las vulnerabilidades incluidas en KEV en activos expuestos públicamente donde la explotación otorga control total, mientras aplazan las vulnerabilidades de menor riesgo. La directiva también fija expectativas para determinar si un activo fue comprometido antes de aplicar los parches.
Security Affairs informa de que el plazo de remediación de estos dos fallos es el 16 de noviembre de 2026. Este requisito federal se aplica a las agencias incluidas, en lugar de imponer un plazo a todas las organizaciones.
Los administradores responsables de los sistemas Check Point afectados y de las redes UnrealIRCd deberían priorizar la remediación, según la recomendación de CISA dirigida a todas las organizaciones. Las agencias federales incluidas también deben aplicar los requisitos de la directiva para verificar si los atacantes obtuvieron acceso antes de instalar los parches.
