WatchGuard Fireware OS: sette falle, sei critiche, da aggiornare

Il 28 ottobre 2026 l’INCIBE-CERT, il CERT nazionale spagnolo, ha pubblicato l’avviso INCIBE-2026-798, con importanza «5 – Crítica», su sette vulnerabilità in Fireware OS, il sistema operativo dei firewall WatchGuard Firebox. Sei sono classificate critiche e una alta. Lo stesso giorno il Canadian Centre for Cyber Security ha diffuso l’avviso AV26-1094 sui bollettini di WatchGuard, e il 29 ottobre heise Security ha dato la notizia parlando di «diverse vulnerabilità critiche».

I dettagli tecnici che seguono vengono dall’avviso dell’INCIBE-CERT, l’unico dei tre che descrive le singole falle. L’avviso canadese elenca solo prodotti e versioni; il testo di heise non è stato possibile analizzarlo.

Cosa è successo

Secondo l’INCIBE-CERT, le vulnerabilità sono state segnalate dal team WatchGuard AI Security Research e da Laurent Gaffie di secorizon.com. A seconda della configurazione del Firebox, permettono di eseguire codice arbitrario, compiere azioni amministrative senza autenticazione, corrompere la memoria o provocare un blocco del servizio. Nella tabella dell’avviso tutte e sette risultano non sfruttate («Explotación: No»).

Le sette vulnerabilità

Delle sette, quattro sono raggiungibili senza autenticazione, ma solo con alcune funzioni attive o in certe condizioni di rete:

• CVE-2026-93857 (critica): stack buffer overflow nel proxy SIP. Un attaccante remoto non autenticato può eseguire codice con una richiesta manipolata che attraversa una policy che usa quel proxy.
• CVE-2026-93866 (critica): integer overflow nella gestione delle connessioni WebSocket di Access Portal, che porta a una scrittura fuori dai limiti di un buffer nello heap, senza autenticazione. Serve che Access Portal sia abilitato.
• CVE-2026-93865 (critica): manca l’autenticazione nel servizio di sincronizzazione di FireCluster. Un attaccante remoto può invocare azioni amministrative privilegiate con richieste dirette all’IP di gestione del cluster. Serve FireCluster abilitato; il titolo del bollettino del produttore parla di iniezione di azioni con privilegi di root.
• CVE-2026-112710 e CVE-2026-112709 (critiche): due heap buffer overflow nel servizio di autenticazione. L’attaccante deve controllare il server Active Directory configurato sul Firebox, o intercettarne le comunicazioni, e restituire una risposta manipolata; il risultato è un blocco del servizio o l’esecuzione di codice prima dell’autenticazione.
• CVE-2026-103594 (critica): stack buffer overflow nell’elaborazione della configurazione WireGuard. Riguarda solo i Firebox configurati come FireCloud Gateway e richiede di porsi in mezzo alle comunicazioni, con accesso al traffico TLS decifrato tra Firebox e WatchGuard Cloud, per modificare la configurazione.
• CVE-2026-103593 (alta): l’avviso non la descrive. Tra i bollettini del produttore citati dall’INCIBE-CERT ce n’è uno su uno stack buffer overflow nel servizio di logging, l’unico che non corrisponde alle sei descrizioni precedenti; l’avviso però non lo associa esplicitamente a questa CVE.

Nessuna delle fonti riporta punteggi CVSS, codice di exploit pubblico o indicatori di compromissione.

Versioni colpite e correzioni

Secondo l’INCIBE-CERT, sono vulnerabili i Firebox con Fireware OS:

Ramo	Versioni colpite	Versione corretta
2025/2026	dalla 2025.1 a prima della 2026.4	2026.4
12.x	dalla 12.0 a prima della 12.12.4	12.12.4
12.x su T15 e T35	dalla 12.0 a prima della 12.5.22	12.5.22

La CVE-2026-103594 riguarda solo le versioni dalla 2026.2 e dalla 12.12 in poi, sempre prima delle versioni corrette, sui Firebox configurati come FireCloud Gateway.

L’avviso canadese aggiunge un prodotto che l’INCIBE-CERT non cita: il client Mobile VPN with SSL, indicato come colpito nelle versioni precedenti alla 2026.4 e alla 12.0. L’avviso non dice quale vulnerabilità lo riguardi: per i dettagli bisogna leggere i bollettini di WatchGuard.

Tecniche e scenari d’attacco

Per le falle del proxy SIP e di Access Portal lo scenario è quello di T1190 – Exploit Public-Facing Application di MITRE ATT&CK: un servizio raggiungibile dalla rete, sfruttabile senza credenziali. Le falle del servizio di autenticazione e di WireGuard richiedono invece una posizione intermedia sulla rete (T1557 – Adversary-in-the-Middle) o il controllo di un server di fiducia, cioè un attaccante già dentro o molto vicino all’infrastruttura. Per FireCluster tutto dipende da chi può raggiungere l’IP di gestione del cluster. Questa classificazione è nostra: le fonti non citano tecniche ATT&CK.

Impatto per le aziende europee e italiane

Il firewall perimetrale è il punto in cui un attaccante vorrebbe entrare per primo: un’esecuzione di codice su questi apparati dà visibilità sul traffico, sulle VPN e sulle credenziali che vi transitano. Al momento le fonti non segnalano attacchi; quanto le singole falle pesino dipende dalle funzioni attive su ciascun Firebox.

Per i soggetti che rientrano nella NIS2 l’aggiornamento rientra nella gestione delle vulnerabilità prevista dalle misure di sicurezza. Se emergessero segni di compromissione, l’evento andrebbe valutato per la notifica allo CSIRT Italia dell’ACN e, in presenza di dati personali, al Garante entro 72 ore come prevede il GDPR.

Cosa fare subito

1. Inventario: elenca tutti i Firebox, compresi quelli delle sedi remote, dei cluster e quelli gestiti da un fornitore, con modello e versione di Fireware OS.
2. Aggiorna alla 2026.4, alla 12.12.4 o, per T15 e T35, alla 12.5.22, secondo le indicazioni dei bollettini di WatchGuard. Aggiorna anche i client Mobile VPN with SSL come indicato dal produttore.
3. Controlla le funzioni coinvolte: Access Portal, policy con proxy SIP, FireCluster, autenticazione con Active Directory, FireCloud Gateway. Quelle attive determinano a quali falle sei esposto.
4. Riduci l’esposizione in attesa dell’aggiornamento (buone pratiche generali, non indicate dall’avviso): disattiva Access Portal e le policy con proxy SIP se non servono; tieni l’interfaccia di gestione del cluster su una rete dedicata e non raggiungibile da altre; usa LDAPS con verifica del certificato verso Active Directory.
5. Rilevamento: cerca nei log del Firebox riavvii o arresti anomali di processi (possibili tentativi di overflow), modifiche di configurazione non richieste, nuovi account amministrativi e traffico verso l’IP di gestione del cluster da indirizzi inattesi.

Come aiuta ARXDOME

ARX Expose mostra quali servizi della tua azienda sono visibili da Internet, compresi i portali dei firewall. ARX Radar legge ogni minuto il traffico in arrivo sul firewall e segnala scansioni e attacchi in corso sul perimetro. ARX Sentry raccoglie log ed eventi dei firewall, utili per cercare riavvii anomali e modifiche di configurazione.

Ultimo aggiornamento: 29 ottobre 2026