WatchGuard Fireware OS: siete fallos, seis críticos, a actualizar

El 28 de octubre de 2026 INCIBE-CERT, el CERT nacional español, publicó el aviso INCIBE-2026-798, con importancia «5 – Crítica», sobre siete vulnerabilidades en Fireware OS, el sistema operativo de los firewalls WatchGuard Firebox. Seis están clasificadas como críticas y una como alta. Ese mismo día el Canadian Centre for Cyber Security difundió el aviso AV26-1094 sobre los boletines de WatchGuard, y el 29 de octubre heise Security dio la noticia hablando de «varias vulnerabilidades críticas».

Los detalles técnicos que siguen proceden del aviso de INCIBE-CERT, el único de los tres que describe cada fallo. El aviso canadiense solo enumera productos y versiones; no hemos podido analizar el texto de heise.

Qué ha pasado

Según INCIBE-CERT, las vulnerabilidades las comunicaron el equipo WatchGuard AI Security Research y Laurent Gaffie, de secorizon.com. Según la configuración del Firebox, permiten ejecutar código arbitrario, realizar acciones administrativas sin autenticación, corromper la memoria o provocar una denegación de servicio. En la tabla del aviso las siete figuran como no explotadas («Explotación: No»).

Las siete vulnerabilidades

De las siete, cuatro se pueden alcanzar sin autenticación, pero solo con ciertas funciones activas o en determinadas condiciones de red:

• CVE-2026-93857 (crítica): desbordamiento de búfer en la pila del proxy SIP. Un atacante remoto no autenticado puede ejecutar código con una petición manipulada que atraviese una política que use ese proxy.
• CVE-2026-93866 (crítica): desbordamiento de enteros en la gestión de las conexiones WebSocket de Access Portal, que lleva a una escritura fuera de los límites de un búfer del montículo, sin autenticación. Access Portal tiene que estar habilitado.
• CVE-2026-93865 (crítica): falta de autenticación en el servicio de sincronización de FireCluster. Un atacante remoto puede invocar acciones administrativas privilegiadas con peticiones dirigidas a la IP de gestión del clúster. Requiere FireCluster habilitado; el título del boletín del fabricante habla de inyección de acciones con privilegios de root.
• CVE-2026-112710 y CVE-2026-112709 (críticas): dos desbordamientos de búfer en el montículo del servicio de autenticación. El atacante tiene que controlar el servidor Active Directory configurado en el Firebox, o interceptar sus comunicaciones, y devolver una respuesta manipulada; el resultado es una denegación de servicio o la ejecución de código antes de la autenticación.
• CVE-2026-103594 (crítica): desbordamiento de búfer en la pila al procesar la configuración de WireGuard. Afecta solo a los Firebox configurados como FireCloud Gateway y requiere situarse en medio de las comunicaciones, con acceso al tráfico TLS descifrado entre Firebox y WatchGuard Cloud, para modificar la configuración.
• CVE-2026-103593 (alta): el aviso no la describe. Entre los boletines del fabricante que cita INCIBE-CERT hay uno sobre un desbordamiento de búfer en la pila del servicio de logging, el único que no corresponde a las seis descripciones anteriores; el aviso, sin embargo, no lo asocia explícitamente a esta CVE.

Ninguna de las fuentes indica puntuaciones CVSS, código de exploit público ni indicadores de compromiso.

Versiones afectadas y correcciones

Según INCIBE-CERT, son vulnerables los Firebox con Fireware OS:

Rama	Versiones afectadas	Versión corregida
2025/2026	desde la 2025.1 y anteriores a la 2026.4	2026.4
12.x	desde la 12.0 y anteriores a la 12.12.4	12.12.4
12.x en T15 y T35	desde la 12.0 y anteriores a la 12.5.22	12.5.22

La CVE-2026-103594 afecta solo a las versiones desde la 2026.2 y desde la 12.12, anteriores a las corregidas, en los Firebox configurados como FireCloud Gateway.

El aviso canadiense añade un producto que INCIBE-CERT no menciona: el cliente Mobile VPN with SSL, indicado como afectado en las versiones anteriores a la 2026.4 y a la 12.0. El aviso no dice qué vulnerabilidad le afecta: para los detalles hay que leer los boletines de WatchGuard.

Técnicas y escenarios de ataque

Para los fallos del proxy SIP y de Access Portal el escenario es el de T1190 – Exploit Public-Facing Application de MITRE ATT&CK: un servicio accesible desde la red, explotable sin credenciales. Los fallos del servicio de autenticación y de WireGuard requieren en cambio una posición intermedia en la red (T1557 – Adversary-in-the-Middle) o el control de un servidor de confianza, es decir, un atacante que ya está dentro o muy cerca de la infraestructura. Para FireCluster todo depende de quién puede alcanzar la IP de gestión del clúster. Esta clasificación es nuestra: las fuentes no citan técnicas de ATT&CK.

Impacto para las empresas europeas e italianas

El firewall perimetral es el primer punto por el que un atacante querría entrar: ejecutar código en estos equipos da visibilidad sobre el tráfico, las VPN y las credenciales que pasan por ellos. Por ahora las fuentes no informan de ataques; cuánto pesa cada fallo depende de las funciones activas en cada Firebox.

Para las entidades sujetas a NIS2, la actualización forma parte de la gestión de vulnerabilidades prevista en las medidas de seguridad. Si aparecieran indicios de compromiso, el evento debería valorarse para notificarlo al CSIRT nacional (en Italia, CSIRT Italia de la ACN) y, si hay datos personales, a la autoridad de protección de datos en 72 horas, como exige el RGPD.

Qué hacer ya

1. Inventario: enumera todos los Firebox, incluidos los de las sedes remotas, los de clústeres y los gestionados por un proveedor, con modelo y versión de Fireware OS.
2. Actualiza a la 2026.4, a la 12.12.4 o, para T15 y T35, a la 12.5.22, según los boletines de WatchGuard. Actualiza también los clientes Mobile VPN with SSL como indique el fabricante.
3. Revisa las funciones implicadas: Access Portal, políticas con proxy SIP, FireCluster, autenticación con Active Directory, FireCloud Gateway. Las que tengas activas determinan a qué fallos estás expuesto.
4. Reduce la exposición mientras actualizas (buenas prácticas generales, no indicadas en el aviso): desactiva Access Portal y las políticas con proxy SIP si no las necesitas; mantén la interfaz de gestión del clúster en una red dedicada y no accesible desde otras; usa LDAPS con verificación del certificado hacia Active Directory.
5. Detección: busca en los registros del Firebox reinicios o caídas anómalas de procesos (posibles intentos de desbordamiento), cambios de configuración no solicitados, nuevas cuentas administrativas y tráfico hacia la IP de gestión del clúster desde direcciones inesperadas.

Cómo ayuda ARXDOME

ARX Expose muestra qué servicios de tu empresa son visibles desde Internet, incluidos los portales de los firewalls. ARX Radar lee cada minuto el tráfico entrante en el firewall y señala escaneos y ataques en curso contra el perímetro. ARX Sentry recoge registros y eventos de los firewalls, útiles para buscar reinicios anómalos y cambios de configuración.

Última actualización: 29 de octubre de 2026