WatchGuard Fireware OS: șapte vulnerabilități, șase critice

Pe 28 octombrie 2026, INCIBE-CERT, CERT-ul național al Spaniei, a publicat avizul INCIBE-2026-798, cu importanța „5 – Crítica”, despre șapte vulnerabilități în Fireware OS, sistemul de operare al firewall-urilor WatchGuard Firebox. Șase sunt clasificate critice și una ridicată. În aceeași zi, Canadian Centre for Cyber Security a difuzat avizul AV26-1094 despre buletinele WatchGuard, iar pe 29 octombrie heise Security a relatat știrea, vorbind de „mai multe vulnerabilități critice”.

Detaliile tehnice de mai jos provin din avizul INCIBE-CERT, singurul dintre cele trei care descrie fiecare vulnerabilitate. Avizul canadian enumeră doar produse și versiuni; textul heise nu l-am putut analiza.

Ce s-a întâmplat

Potrivit INCIBE-CERT, vulnerabilitățile au fost raportate de echipa WatchGuard AI Security Research și de Laurent Gaffie de la secorizon.com. În funcție de configurația Firebox-ului, ele permit executarea de cod arbitrar, acțiuni administrative fără autentificare, coruperea memoriei sau blocarea serviciului. În tabelul avizului, toate cele șapte apar ca neexploatate („Explotación: No”).

Cele șapte vulnerabilități

Patru dintre ele pot fi atinse fără autentificare, dar numai cu anumite funcții active sau în anumite condiții de rețea:

• CVE-2026-93857 (critică): stack buffer overflow în proxy-ul SIP. Un atacator de la distanță, neautentificat, poate executa cod cu o cerere manipulată care trece printr-o politică ce folosește acel proxy.
• CVE-2026-93866 (critică): integer overflow în gestionarea conexiunilor WebSocket din Access Portal, care duce la o scriere în afara limitelor unui buffer din heap, fără autentificare. Access Portal trebuie să fie activat.
• CVE-2026-93865 (critică): lipsa autentificării în serviciul de sincronizare FireCluster. Un atacator de la distanță poate invoca acțiuni administrative privilegiate prin cereri trimise la IP-ul de administrare al clusterului. Este necesar FireCluster activat; titlul buletinului producătorului vorbește de injectarea de acțiuni cu privilegii root.
• CVE-2026-112710 și CVE-2026-112709 (critice): două heap buffer overflow în serviciul de autentificare. Atacatorul trebuie să controleze serverul Active Directory configurat pe Firebox sau să-i intercepteze comunicațiile și să trimită un răspuns manipulat; rezultatul este blocarea serviciului sau executarea de cod înainte de autentificare.
• CVE-2026-103594 (critică): stack buffer overflow la procesarea configurației WireGuard. Afectează doar Firebox-urile configurate ca FireCloud Gateway și necesită o poziție de intermediar, cu acces la traficul TLS decriptat dintre Firebox și WatchGuard Cloud, pentru a modifica configurația.
• CVE-2026-103593 (ridicată): avizul nu o descrie. Printre buletinele producătorului citate de INCIBE-CERT există unul despre un stack buffer overflow în serviciul de logging, singurul care nu corespunde celor șase descrieri de mai sus; avizul însă nu îl asociază explicit cu această CVE.

Niciuna dintre surse nu indică scoruri CVSS, cod de exploit public sau indicatori de compromitere.

Versiuni afectate și corecturi

Potrivit INCIBE-CERT, sunt vulnerabile Firebox-urile cu Fireware OS:

Ramură	Versiuni afectate	Versiune corectată
2025/2026	de la 2025.1 până înainte de 2026.4	2026.4
12.x	de la 12.0 până înainte de 12.12.4	12.12.4
12.x pe T15 și T35	de la 12.0 până înainte de 12.5.22	12.5.22

CVE-2026-103594 afectează doar versiunile de la 2026.2 și de la 12.12 încolo, anterioare celor corectate, pe Firebox-urile configurate ca FireCloud Gateway.

Avizul canadian adaugă un produs pe care INCIBE-CERT nu îl menționează: clientul Mobile VPN with SSL, indicat ca afectat în versiunile anterioare 2026.4 și 12.0. Avizul nu spune ce vulnerabilitate îl privește: pentru detalii trebuie citite buletinele WatchGuard.

Tehnici și scenarii de atac

Pentru vulnerabilitățile din proxy-ul SIP și din Access Portal, scenariul este T1190 – Exploit Public-Facing Application din MITRE ATT&CK: un serviciu accesibil din rețea, exploatabil fără credențiale. Vulnerabilitățile din serviciul de autentificare și din WireGuard necesită în schimb o poziție intermediară în rețea (T1557 – Adversary-in-the-Middle) sau controlul unui server de încredere, adică un atacator aflat deja în interior sau foarte aproape de infrastructură. Pentru FireCluster totul depinde de cine poate ajunge la IP-ul de administrare al clusterului. Această clasificare ne aparține: sursele nu citează tehnici ATT&CK.

Impactul pentru companiile europene și italiene

Firewall-ul de perimetru este primul loc pe unde un atacator ar vrea să intre: executarea de cod pe aceste echipamente oferă vizibilitate asupra traficului, a VPN-urilor și a credențialelor care trec prin ele. Deocamdată sursele nu semnalează atacuri; cât contează fiecare vulnerabilitate depinde de funcțiile active pe fiecare Firebox.

Pentru entitățile care intră sub incidența NIS2, actualizarea face parte din gestionarea vulnerabilităților prevăzută de măsurile de securitate. Dacă apar semne de compromitere, evenimentul trebuie evaluat pentru notificarea către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN) și, dacă sunt implicate date personale, către autoritatea de protecție a datelor în 72 de ore, așa cum prevede GDPR.

Ce ai de făcut acum

1. Inventar: fă lista tuturor Firebox-urilor, inclusiv cele din sediile la distanță, din clustere și cele administrate de un furnizor, cu modelul și versiunea Fireware OS.
2. Actualizează la 2026.4, la 12.12.4 sau, pentru T15 și T35, la 12.5.22, conform buletinelor WatchGuard. Actualizează și clienții Mobile VPN with SSL, așa cum indică producătorul.
3. Verifică funcțiile implicate: Access Portal, politicile cu proxy SIP, FireCluster, autentificarea cu Active Directory, FireCloud Gateway. Cele active determină la ce vulnerabilități ești expus.
4. Redu expunerea până la actualizare (bune practici generale, neindicate în aviz): dezactivează Access Portal și politicile cu proxy SIP dacă nu ai nevoie de ele; ține interfața de administrare a clusterului pe o rețea dedicată, inaccesibilă din alte rețele; folosește LDAPS cu verificarea certificatului către Active Directory.
5. Detecție: caută în jurnalele Firebox reporniri sau opriri anormale ale proceselor (posibile încercări de overflow), modificări de configurație necerute, conturi administrative noi și trafic către IP-ul de administrare al clusterului din adrese neașteptate.

Cum ajută ARXDOME

ARX Expose arată ce servicii ale companiei tale sunt vizibile din Internet, inclusiv portalurile firewall-urilor. ARX Radar citește în fiecare minut traficul care ajunge pe firewall și semnalează scanările și atacurile în curs asupra perimetrului. ARX Sentry colectează jurnalele și evenimentele firewall-urilor, utile pentru a căuta reporniri anormale și modificări de configurație.

Ultima actualizare: 29 octombrie 2026