Die Firebox-Appliances von WatchGuard bilden das Herzstück der Netzwerksicherheit zahlreicher Unternehmen. Sie kontrollieren den Datenverkehr, terminieren VPN-Verbindungen und dienen als erste Verteidigungslinie gegen externe Bedrohungen.
Umso alarmierender ist es, wenn ausgerechnet das Betriebssystem dieser Sicherheitsappliances, Fireware OS, über Monate hinweg mit einer Vielzahl kritischer Schwachstellen zu kämpfen hat. Einige dieser Schwachstellen wurden bereits aktiv ausgenutzt, noch bevor Patches flächendeckend bereitstanden.
In diesem Beitrag werden die wichtigsten Sicherheitslücken der letzten Monate eingeordnet, die Angriffsvektoren erläutert und die jetzt unerlässlichen Maßnahmen aufgezeigt.
Die schwerwiegendste Lücke: CVE-2025-14733 im IKEv2-VPN-Dienst
Im Zentrum der jüngsten Sicherheitskrise steht die Schwachstelle CVE-2025-14733. Dabei handelt es sich um einen Out-of-Bounds-Write-Fehler im iked-Prozess, der für IKEv2-VPN-Verbindungen zuständig ist. Ein entfernter, nicht authentifizierter Angreifer kann durch eine speziell präparierte IKE_AUTH-Anfrage eine Speicherbeschädigung auslösen und dadurch beliebigen Code auf der Firebox ausführen. Die CVSS-Bewertung liegt bei 9,3 von 10 und damit im kritischen Bereich.
Besonders heikel: Die Schwachstelle betrifft sowohl Mobile User VPN als auch Branch Office VPN, sofern diese über IKEv2 mit dynamischen Gateway-Peers konfiguriert sind. Selbst wenn eine solche Konfiguration inzwischen gelöscht wurde, kann die Firebox weiterhin angreifbar bleiben, solange noch ein Branch-Office-VPN zu einem statischen Gateway-Peer besteht.
WatchGuard hat die Lücke im Dezember 2025 öffentlich gemacht, zu einem Zeitpunkt also, an dem die aktive Ausnutzung bereits im Gange war. Die US-Cybersecurity-Behörde CISA nahm CVE-2025-14733 umgehend in ihren Katalog der aktiv ausgenutzten Schwachstellen auf und verpflichtete Bundesbehörden, schnell Patches zu installieren. Später bestätigte die CISA, dass die Lücke auch von Ransomware-Gruppen ausgenutzt wird.
Die von WatchGuard bereitgestellten Angriffsindikatoren sind für Administratoren sehr wertvoll: eine Log-Meldung, die angibt, dass die empfangene Peer-Zertifikatskette mehr als acht Zertifikate umfasst, ein IKE_AUTH-Eintrag mit einer ungewöhnlich großen CERT-Payload von über 2000 Bytes, ein hängender iked-Prozess sowie Absturzberichte nach fehlgeschlagenen oder erfolgreichen Exploit-Versuchen. Mithilfe dieser Signaturen ist eine nachträgliche Kompromittierungsprüfung möglich.
Weitere kritische Lücken im Überblick
Die Sicherheitslage bei Fireware OS ist jedoch nicht auf eine einzelne Schwachstelle beschränkt. In den Monaten vor und nach der Offenlegung von CVE-2025-14733 wurden mehrere weitere kritische Sicherheitslücken bekannt.
CVE-2025-9242 ist eine nahezu identische Out-of-Bounds-Write-Schwachstelle im IKED-Prozess, die bereits im September 2025 gepatcht wurde. Auch sie erreichte einen CVSS-Score von 9,3 und wurde in freier Wildbahn ausgenutzt. Die Ähnlichkeit der beiden Lücken deutet darauf hin, dass Angreifer den VPN-Dienst gezielt ins Visier nehmen.
CVE-2026-113881 betrifft den Prozess zur Durchsetzung der VPN-Netzwerkzugriffskontrolle. Ein authentifizierter Mobile-VPN-Benutzer kann durch eine manipulierte Anfrage einen Stack-basierten Pufferüberlauf auslösen. Dadurch wird der Dienst verweigert und es wird potenziell die Ausführung von beliebigem Code mit den Rechten eines unprivilegierten Prozesses ermöglicht.
CVE-2026-13383 ist eine Out-of-Bounds-Write-Schwachstelle im ikestubd-Prozess, die auf Kernel-Ebene agiert. Ein authentifizierter privilegierter Benutzer kann über speziell gestaltete Anfragen an die Management-Weboberfläche beliebigen Code ausführen. Da der Prozess tief in die VPN-Konnektivität und die sichere Kommunikation eingebunden ist, kann eine erfolgreiche Ausnutzung der Schwachstelle die traditionelle Netzwerksegmentierung umgehen.
CVE-2026-103593 ist schließlich ein Stack-basierter Pufferüberlauf im Logging-Dienst. Ein Angreifer im Netzwerk, der den konfigurierten Log-Server impersonieren oder den Datenverkehr abfangen kann, ist in der Lage, durch ein speziell angefertigtes Zertifikat beliebigen Code mit Root-Rechten auszuführen. Der CVSS-Score liegt bei 9,1.
Die Lage spitzt sich zu: Weitere Schwachstellen und ein Muster
Im September und Oktober 2026 veröffentlichte WatchGuard Sicherheitsupdates, die insgesamt 15 Schwachstellen in Fireware OS adressierten, darunter sieben mit kritischem Schweregrad und mehrere mit hohem Schweregrad. Die prominenteste unter ihnen war CVE-2026-86131, eine Code-Injection-Schwachstelle in der Konfigurationsverarbeitung des BOVPN-over-TLS-Clients.
Ein Angreifer, der den entfernten VPN-Server kontrolliert, kann dadurch beliebige Befehle mit Root-Rechten auf der verbindenden Firebox ausführen. Der CVSS-Score beträgt 9,2. Das Besondere an diesem Angriffsvektor ist, dass BOVPN over TLS häufig Port 443 nutzt, der in vielen Netzwerken ohnehin für ausgehenden Datenverkehr freigegeben ist.
Daneben wurden unter anderem eine Autorisierungsumgehung im SAML-Login-Prozess (CVE-2026-86101), ein Pufferüberlauf im DHCP-Fingerprinting-Daemon fingerd (CVE-2026-81433) sowie mehrere Dienstverweigerungslücken im iked-Prozess behoben.
Die Bandbreite der betroffenen Komponenten – VPN, Management-Weboberfläche, Logging, Authentifizierung und DHCP – zeigt, dass die Angriffsfläche von Fireware OS erheblich ist und nahezu jeden funktionalen Bereich umfasst.
Was Administratoren jetzt tun müssen
Die wichtigste Maßnahme ist und bleibt das zeitnahe Einspielen der vom Hersteller bereitgestellten Firmware-Updates. Für die verschiedenen Versionszweige gelten die folgenden gepatchten Releases als sicher:
- Fireware OS 2025.1.4 und höher für den 2025.1-Zweig
- Fireware OS 12.11.6 und höher für den 12.x-Zweig
- Fireware OS 12.5.15 für die Modelle T15 und T35
- Fireware OS 12.3.1_Update4 für die FIPS-zertifizierte Ausführung
- Für die 11.x-Versionen besteht kein Patch mehr; diese Zweige sind End-of-Life und sollten dringend migriert werden.
Doch mit dem Patch allein ist es nicht getan. Da CVE-2025-14733 nachweislich aktiv ausgenutzt wurde, müssen betroffene Systeme als potenziell kompromittiert betrachtet werden. Es wird empfohlen, die von WatchGuard veröffentlichten Indikatoren für eine Kompromittierung zu prüfen, sämtliche Zugangsdaten und Geheimnisse auf den Geräten zu ändern und die Netzwerkprotokolle auf verdächtige Aktivitäten zu untersuchen.
Wer die Patches nicht sofort installieren kann, sollte temporäre Gegenmaßnahmen umsetzen, beispielsweise dynamische BOVPN-Peers deaktivieren oder den Management-Zugriff auf vertrauenswürdige Netzwerke einschränken.
