Los atacantes pasaron dos meses dentro del cerebro del cortafuegos de Check Point. La acción subió.

El grep que delata lo ocurrido en julio

En algún lugar, esta semana, un administrador está ejecutando un grep de una sola línea sobre los registros de la máquina que escribe la política del cortafuegos de toda la empresa. El boletín de seguridad de Check Point lo pide: la búsqueda de nombres de inicio de sesión demasiado largos↗ es la manera de averiguar si la CVE-2026-93616 —un path traversal (recorrido de rutas) previo a la autenticación, con una puntuación de 9,8 sobre 10— permitió a un desconocido ejecutar scripts en el servidor de gestión sin contraseña ¹. «No hace falta romper el cortafuegos cuando puedes decirle qué debe permitir», afirma Aaron Beardslee, responsable de investigación de amenazas de Securonix↗ ².

Los atacantes mantuvieron esa posición desde el 23 de julio hasta la llegada de la corrección el 22 de septiembre↗ ¹³. Esa misma semana, la acción superó su media móvil de 200 sesiones↗ ⁴.

Dos meses de silencio y tres días de ley

La CISA —Agencia de Ciberseguridad y Seguridad de las Infraestructuras de EE. UU.— incluyó el 22 de septiembre los dos fallos de Check Point, cada uno con una puntuación de 9,8, en un mismo lote de su catálogo de vulnerabilidades explotadas conocidas (Known Exploited Vulnerabilities), y dio a las agencias federales de plazo hasta el día 25 en virtud de la directiva BOD 26-04↗ ³⁵. La ventana de silencio del fabricante duró dos meses ¹; la de remediación impuesta por el Gobierno, tres días ³⁵.

La corrección no llega a todos. Todas las versiones antiguas R80 y R81 están afectadas y fuera de soporte, de modo que la única remediación es actualizar de versión, no aplicar un parche puntual↗ ¹⁶. Un servidor de gestión parcheado justo lo suficiente para cerrar la vulnerabilidad VPN de septiembre —un fallo distinto— sigue dentro del alcance de esta vulnerabilidad ⁶.

Los miles de equipos expuestos son pasarelas, no el cerebro

Los más de 13.000 dispositivos de Check Point expuestos a internet que se contaron en todo el mundo en junio de 2024 son pasarelas VPN: la superficie de la vulnerabilidad hermana, la CVE-2026-85102, no la del plano de gestión comprometido ⁵. Esa se corrigió el 9 de septiembre; para el día 10 el NCSC holandés ya había lanzado un aviso de explotación inminente y llegó, según el vicepresidente de Investigación de Check Point, Lotem Finkelstein, una oleada de intentos contra clientes de Spark desde el día 12↗ ⁷⁸. Se supone que los servidores de gestión no deben exponerse a internet en absoluto ².

Por eso los grep son distintos. Las organizaciones con pasarelas auditan los registros VPN hasta el 12 de septiembre↗ ⁵; las que operan el servidor de gestión, un equipo que de todos modos ya era accesible, rastrean dos meses de artefactos ¹.

El mercado pagó 141 dólares por la calma

El 24 de septiembre la acción cruzó al alza su media móvil de 200 sesiones, de 134,13 dólares, y llegó a tocar los 141,29: una compañía de 13.920 millones de dólares a 13,95 veces el beneficio ⁴. El trimestre de junio aportó 673,6 millones de dólares en ingresos, un 1,3% más interanual, y superó las previsiones en el beneficio por acción, con 2,55 dólares frente a los 2,45 esperados ⁴.

La hoja de ruta de la IA no conoció pausa

Mientras la vulnerabilidad zero-day guardaba silencio, la compañía publicó un resumen sobre modelos de IA que escapaban de su propio aislamiento en las pruebas↗ ¹⁰ e integró los modelos cibernéticos Daybreak de OpenAI en Keystone, la misma línea de gestión de seguridad, parte de la cual ya está en producción↗ ¹¹. Ahora Keystone tiene que responder si hereda el modelo de confianza que acaba de arder.

Check Point asegura que el acceso a los modelos está restringido y que las salidas se verifican antes de que actúen los sistemas ¹¹. El cálculo del radio de impacto no cambia: «Si una única consola gestiona cincuenta pasarelas, que la comprometan es cincuenta veces peor que comprometer cualquiera de las pasarelas», dice Frank Dickson, de Dickson Research ².

El caso a favor de la prima

Los ataques fueron selectivos y afectaron a un puñado de clientes, y existen correcciones para todas las ramas con soporte ¹³. Los productos de seguridad son software, y el software tiene errores ². Veintisiete analistas recomiendan mantener la acción, con un objetivo de consenso de 148,74 dólares: un encogimiento de hombros, no una salida ⁴.

La prima, por ahora, sigue en manos de Check Point y de sus accionistas. El riesgo residual recae en los clientes que todavía usan R80 y R81, fuera de soporte: no tienen parche puntual que instalar, pero sí una actualización de versión que presupuestar ¹⁶.

Vigilar el grep, no la cotización

Parchear cierra la puerta; no desaloja a quien entró por ella en julio ². La pista la dará la primera empresa que lo descubra. La acción ya ha votado. Los registros, todavía no.