WatchGuard Fireware: krytyczne luki RCE — aktualizuj Firebox
WatchGuard ujawnił serię krytycznych luk w Fireware OS, w tym RCE przed uwierzytelnieniem. Sprawdź podatne wersje, wymagane konfiguracje i plan aktualizacji.
- AUTOR
- Karol Rapacz / CEO Breachroad · OSCP · PNPT
- PUBLIKACJA
- 29 października 2026
- CZAS CZYTANIA
- 10 min czytania
- TEMAT
- Podatności i CVE
WatchGuard opublikował dużą serię biuletynów bezpieczeństwa dla Fireware OS, w tym kilka podatności umożliwiających zdalne wykonanie kodu przed uwierzytelnieniem. Problemy dotyczą między innymi serwera proxy SIP, usługi uwierzytelniania Active Directory, synchronizacji FireCluster, logowania oraz konfiguracji WireGuard w FireCloud Gateway.
Nie każda luka dotyczy każdej instalacji. Część wymaga konkretnej funkcji, takiej jak proxy SIP, FireCluster lub FireCloud Gateway. To jednak nie jest powód, aby czekać. Firewall i koncentrator VPN znajdują się na granicy sieci, a błędna ocena konfiguracji może pozostawić podatny komponent dostępny dla napastnika.
Najważniejsze działanie: sprawdź model, wersję i włączone funkcje każdego urządzenia Firebox, wykonaj kopię konfiguracji i przejdź do Fireware OS 2026.4, 12.12.4 lub — dla modeli T15/T35 — 12.5.22, zgodnie z macierzą producenta. Po zmianie zweryfikuj usługi, konta administratorów i wysyłanie logów.
Co WatchGuard ujawnił 27 października
Lista producenta obejmuje wiele CVE o różnym wpływie. Najpoważniejsze pozycje to:
| CVE | CVSS 4.0 | Funkcja | Możliwy skutek |
|---|---|---|---|
| CVE-2026-103594 | 9,5 | konfiguracja WireGuard / FireCloud Gateway | DoS lub potencjalne wykonanie kodu po ingerencji w ruch konfiguracyjny |
| CVE-2026-112710 | 9,2 | usługa uwierzytelniania AD | zdalne wykonanie kodu przed uwierzytelnieniem |
| CVE-2026-93865 | 9,2 | demon synchronizacji FireCluster | zdalne wykonanie akcji jako root |
| CVE-2026-93857 | 9,2 | proxy SIP | zdalne wykonanie kodu przed uwierzytelnieniem |
| CVE-2026-93866 | 9,2 | Access Portal | zapis poza zakresem pamięci przed uwierzytelnieniem |
| CVE-2026-103593 | 9,1 | usługa logowania | zdalne wykonanie kodu |
To nie jest pełna lista. Producent opublikował również podatności o poziomie wysokim i średnim, między innymi dotyczące eskalacji uprawnień, modyfikacji plików jako root, odmowy usługi i lokalnego naruszania logów. Zespół powinien traktować wydanie jako pakiet aktualizacyjny, a nie wybierać pojedynczą poprawkę tylko dla najbardziej medialnego CVE.
Które wersje Fireware OS są podatne
Dla większości krytycznych problemów WatchGuard wskazuje następujące zakresy:
- Fireware OS od 2025.1 do wersji wcześniejszych niż 2026.4;
- Fireware OS od 12.0 do wersji wcześniejszych niż 12.12.4;
- dla modeli T15 i T35 — gałąź wcześniejsza niż 12.5.22.
CVE-2026-103594 ma węższy zakres: dotyczy Fireware OS od 2026.2 do wersji wcześniejszych niż 2026.4 oraz od 12.12 do wersji wcześniejszych niż 12.12.4. Producent jako rozwiązanie wskazuje Fireware OS 2026.4 albo 12.12.4.
Zakres trzeba zawsze porównać z konkretnym biuletynem. Urządzenia starsze, niewspierane lub działające w nietypowej gałęzi mogą wymagać migracji zamiast zwykłej aktualizacji.
Konfiguracja ma znaczenie, ale nie zastępuje aktualizacji
CVE-2026-93857 wymaga skonfigurowanego proxy SIP. CVE-2026-103594 dotyczy wdrożeń Firebox działających jako FireCloud Gateway, a scenariusz opisany przez producenta zakłada możliwość ingerencji w odszyfrowany ruch TLS między urządzeniem a WatchGuard Cloud. Inne luki odnoszą się do FireCluster, uwierzytelniania AD, Access Portal lub usług systemowych.
Jeżeli firma nie używa danej funkcji, jej bezpośrednie ryzyko może być niższe. Nadal trzeba jednak potwierdzić stan konfiguracji, a nie opierać się na pamięci administratora. Funkcja mogła zostać włączona podczas testu, migracji, pracy poprzedniego dostawcy albo w konfiguracji zapasowego urządzenia.
WatchGuard w opublikowanych biuletynach nie zgłasza znanego wykorzystania opisywanych luk w środowiskach produkcyjnych. To informacja o stanie wiedzy producenta, a nie gwarancja braku ataków. Publiczny biuletyn i dostępność poprawek zwykle rozpoczynają intensywną analizę różnic między wersjami.
Plan aktualizacji WatchGuard Firebox
1. Zinwentaryzuj wszystkie urządzenia
Uwzględnij urządzenia produkcyjne, klastry, zapasowe Fireboxy, oddziały, środowiska laboratoryjne i obrazy gotowe do wdrożenia. Zapisz model, wersję, numer seryjny, lokalizację, właściciela, publiczne adresy oraz włączone funkcje.
2. Sprawdź ekspozycję i funkcje
Zweryfikuj proxy SIP, FireCluster, FireCloud Gateway, Access Portal, uwierzytelnianie AD i interfejsy zarządzania. Priorytet otrzymują urządzenia dostępne z internetu oraz obsługujące wiele lokalizacji lub zdalny dostęp pracowników.
3. Przygotuj bezpieczną zmianę
Wykonaj kopię konfiguracji, potwierdź możliwość odtworzenia, sprawdź wymaganą ścieżkę aktualizacji i zaplanuj okno. Przygotuj testy VPN, routingu, polityk, uwierzytelniania, klastra, VoIP i logowania. Dla klastrów zaplanuj kolejność węzłów i sprawdź stan synchronizacji.
4. Zaktualizuj do wersji wskazanej przez producenta
Docelowa gałąź zależy od modelu i obecnej wersji. Nie zakładaj, że samo automatyczne pobranie obrazu oznacza jego uruchomienie. Po restarcie sprawdź numer aktywnego oprogramowania na każdym urządzeniu.
5. Zweryfikuj ślady i monitoring
Przejrzyj nowe konta administratorów, nietypowe logowania, zmiany polityk, konfiguracji VPN i tras, nagłe restarty oraz nieoczekiwane połączenia wychodzące. Potwierdź, że Firebox nadal wysyła kompletne logi do zewnętrznego systemu — szczególnie dlatego, że jedna z luk dotyczy usługi logowania.
Gdy aktualizacja nie jest możliwa od razu
Ogranicz interfejsy zarządzania do zaufanych adresów i sieci administracyjnej, wyłącz nieużywane proxy oraz portale, a dostęp operatorów prowadź przez kontrolowany kanał z MFA. Zwiększ monitoring zmian konfiguracji i połączeń. Są to środki tymczasowe. Nie usuwają podatnego kodu i nie powinny zastępować aktualizacji.
Jeżeli urządzenie nie ma wspieranej wersji, przygotuj plan wymiany. Firewall bez poprawek staje się trwałym wyjątkiem na granicy sieci, czyli dokładnie tam, gdzie firma potrzebuje najwyższej przewidywalności.
Fakty źródłowe i wnioski Breachroad
WatchGuard potwierdza numery CVE, punktacje, wymagane konfiguracje, zakresy wersji oraz wydania naprawione. Producent w opisach poszczególnych luk wskazuje też, że nie zna przypadków ich wykorzystania.
Kolejność aktualizacji według ekspozycji, zakres przeglądu logów i lista dowodów po zmianie są rekomendacjami Breachroad. Administratorzy i właściciele usług mogą przećwiczyć takie decyzje podczas szkoleń cyberbezpieczeństwa dla firm. Jeżeli organizacja nie ma pełnej listy urządzeń albo nie zna ich ekspozycji, warto rozpocząć od audytu bezpieczeństwa IT.
FAQ: luki WatchGuard Fireware OS
Czy wszystkie Fireboxy są podatne na każdą lukę?
Nie. Wpływ zależy od wersji, modelu i włączonych funkcji. Przykładowo CVE-2026-93857 wymaga proxy SIP, a CVE-2026-103594 dotyczy FireCloud Gateway.
Do jakiej wersji należy zaktualizować Fireware OS?
Producent wskazuje Fireware OS 2026.4, 12.12.4 lub 12.5.22 dla modeli T15/T35. Dokładną ścieżkę trzeba potwierdzić dla używanego modelu i obecnej gałęzi.
Czy luki są aktywnie wykorzystywane?
WatchGuard informuje, że nie zna przypadków wykorzystania opisanych podatności. Nie zwalnia to z aktualizacji, ponieważ część błędów pozwala na wykonanie kodu przed uwierzytelnieniem.
Czy wyłączenie proxy SIP wystarczy?
Zmniejszy ryzyko CVE-2026-93857, ale nie usunie innych podatności w Fireware OS. Właściwym rozwiązaniem pozostaje instalacja poprawionej wersji.
Źródła pierwotne: WatchGuard PSIRT — lista biuletynów, WatchGuard — CVE-2026-93857, WatchGuard — CVE-2026-103594.
