WatchGuard Firebox, 18 vulnerabilità in Fireware OS: aggiornare a 2026.4 o 12.12.4

Articolo aggiornato al 2 novembre 2026. La situazione è ancora in evoluzione: lo aggiornerò se WatchGuard rilascia nuove correzioni o segnala attacchi in corso.

Se gestite dei Firebox WatchGuard, in questi giorni nel portale PSIRT è comparsa una lunga lista di avvisi tutti datati 27 ottobre 2026: diciotto vulnerabilità in Fireware OS, sette delle quali classificate critiche con punteggio CVSS 4.0 tra 9.1 e 9.5. Dal lato utente non si vede nulla: il firewall continua a funzionare, le VPN salgono, nessun errore in dashboard. Ed è proprio questo il problema, perché è il classico aggiornamento che si rimanda.

Le falle più gravi sono buffer overflow e mancate autenticazioni in componenti molto diffusi nelle installazioni delle PMI: il servizio di autenticazione verso Active Directory, l’Access Portal, il proxy SIP, la sincronizzazione FireCluster e il servizio di logging. Al momento WatchGuard dichiara di non essere a conoscenza di sfruttamenti attivi, ma con i dettagli ormai pubblici io non aspetterei: i firewall perimetrali sono tra i primi bersagli quando esce un exploit.

Chi è coinvolto

Secondo gli avvisi ufficiali sono vulnerabili:

• Fireware OS dalla 2025.1 fino alla 2026.4 esclusa;
• Fireware OS dalla 12.0 fino alla 12.12.4 esclusa;
• sui modelli T15 e T35, Fireware OS dalla 12.0 fino alla 12.5.22 esclusa;
• il client Mobile VPN with SSL per Windows precedente alla 2026.4 (CVE-2026-115495, credenziali VPN in chiaro su un socket di gestione locale).

Le versioni corrette sono quindi 2026.4, 12.12.4 e, per T15/T35, 12.5.22.

Perché succede

Non tutte le falle colpiscono tutti i Firebox: molte dipendono da una funzione attiva. Queste sono le critiche, con la condizione indicata da WatchGuard:

• CVE-2026-93866 (9.2): overflow nella gestione WebSocket dell’Access Portal, sfruttabile senza autenticazione se l’Access Portal è abilitato;
• CVE-2026-93857 (9.2): overflow nel proxy SIP, esecuzione di codice da remoto senza autenticazione se c’è una policy che usa il proxy SIP;
• CVE-2026-112709 e CVE-2026-112710 (9.2): overflow nel servizio di autenticazione quando è configurato un server Active Directory; serve che l’attaccante controlli o intercetti il traffico tra Firebox e controller di dominio;
• CVE-2026-93865 (9.2): mancata autenticazione nel demone di sincronizzazione FireCluster, rilevante se avete un cluster;
• CVE-2026-103593 (9.1): overflow nel servizio di logging;
• CVE-2026-103594 (9.5): overflow nella configurazione WireGuard, solo su 2026.2-2026.3 e 12.12-12.12.3 con il Firebox in funzione di FireCloud Gateway e un attaccante in man-in-the-middle verso WatchGuard Cloud.

Tra le altre, segnalo CVE-2026-111107 (8.7), che permette di mandare in crash l’interfaccia di gestione senza autenticazione, e CVE-2026-93434 (8.7), una XPath injection nel login SSH che può far trapelare dati della configurazione. Entrambe sono un buon motivo in più per non lasciare la gestione esposta su Internet.

Prima di iniziare

• Verificate la versione attuale: nella Web UI la trovate in Dashboard → Front Panel, oppure in Firebox System Manager.
• Controllate che la feature key abbia il supporto attivo: senza, il Firebox potrebbe non accettare l’aggiornamento.
• Salvate un backup completo: in Web UI System → Backup and Restore Image, oppure da Policy Manager salvate il file di configurazione. Io conservo sempre entrambi, fuori dal firewall.
• Pianificate una finestra di manutenzione: il riavvio interrompe connessioni e VPN per alcuni minuti.

Attenzione: se siete su un ramo vecchio della 12.x, leggete le release notes prima di saltare direttamente all’ultima versione e verificate quale dei due rami, 2026.x o 12.12.x, è disponibile per il vostro modello.

Come aggiornare

1. Scaricate l’immagine corretta per il vostro modello dal portale WatchGuard (2026.4, 12.12.4 oppure 12.5.22 per T15/T35).
2. Nella Web UI aprite System → Upgrade OS, caricate il file e confermate. Se usate WatchGuard Cloud, pianificate l’aggiornamento dalla console cloud.
3. Se avete un FireCluster, aggiornate il cluster con la procedura prevista da WatchGuard per i FireCluster, senza aggiornare a mano un membro alla volta.
4. A riavvio completato, ricontrollate la versione e verificate VPN, autenticazione e regole principali.
5. Distribuite il client Mobile VPN with SSL 2026.4 sui PC Windows che lo usano.

Se non potete aggiornare subito

WatchGuard non indica workaround ufficiali: l’unico rimedio è l’aggiornamento. Nel frattempo, però, potete ridurre la superficie d’attacco:

• disattivate l’Access Portal se non lo usate davvero;
• verificate nelle policy se c’è un proxy SIP: se il centralino VoIP funziona senza, valutate di sostituirlo con un filtro di pacchetti limitato agli IP del provider;
• limitate la policy WatchGuard Web UI e l’accesso SSH a indirizzi interni o a IP fidati, mai da Any-External;
• tenete i collegamenti FireCluster su interfacce dedicate e isolate.

Le stesse regole valgono per tutti gli apparati di rete: la settimana scorsa era toccato agli access point e controller HPE Aruba.

Se il problema persiste

Se l’aggiornamento non parte o il Firebox non torna su, ripristinate l’immagine di backup e aprite un caso al supporto WatchGuard. Se invece notate nei log riavvii anomali dei servizi di autenticazione, del proxy SIP o della gestione prima di aver aggiornato, conservate i log e trattatelo come un possibile incidente, non come un semplice crash.

Vi è capitato di dover aggiornare dei Firebox in questi giorni o avete trovato problemi con la 2026.4? Raccontate nei commenti com’è andata: possono essere utili ad altri.