Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en WatchGuard AP de WatchGuard

Resumen de la alerta

WatchGuard ha corregido una vulnerabilidad crítica en WatchGuard Fireware OS que puede permitir la ejecución remota de comandos con privilegios de root. El fallo, identificado como CVE-2026-86131, afecta al tratamiento de la configuración del cliente BOVPN sobre TLS.

La explotación requeriría que un atacante controlase el servidor VPN remoto al que se conecta el dispositivo Firebox. En ese escenario, podría enviar una configuración manipulada y ejecutar comandos arbitrarios en el equipo afectado, con posibilidad de comprometerlo por completo.

WatchGuard indica que no tiene constancia de explotación activa de esta vulnerabilidad. No obstante, debido a su severidad crítica y al impacto potencial sobre dispositivos perimetrales, las organizaciones afectadas deben priorizar la actualización de Fireware OS.

Recursos afectados

El aviso afecta a dispositivos que utilizan WatchGuard Fireware OS en las siguientes ramas y versiones:

• Desde la versión 2026.3 y anteriores a la 2026.3.2.
• Desde la versión 2025.0 y anteriores a la 2026.2.3.
• Desde la versión 12.0 y anteriores a la 12.12.3.
• Desde la versión 12.0 y anteriores a la 12.5.21 en dispositivos Firebox T15 y Firebox T35.

Descripción de las vulnerabilidades

CVE-2026-86131 es una vulnerabilidad de inyección de código en la gestión de la configuración del cliente BOVPN sobre TLS de WatchGuard Fireware OS.

BOVPN sobre TLS permite establecer conexiones VPN entre dispositivos mediante TLS. El problema reside en el procesamiento de la configuración que recibe el Firebox cuando actúa como cliente y se conecta a un servidor VPN remoto.

Si ese servidor remoto estuviese bajo control de un atacante, podría remitir una configuración especialmente manipulada. La vulnerabilidad podría permitir que dicha configuración derivase en la ejecución de comandos arbitrarios en el Firebox.

Impacto y nivel de riesgo

La vulnerabilidad está clasificada con severidad crítica. Una explotación con éxito podría proporcionar al atacante ejecución remota de comandos con privilegios de root, el nivel más elevado de permisos en el sistema operativo del dispositivo.

Este nivel de acceso podría permitir el compromiso completo del equipo afectado. El escenario descrito por la fuente requiere que el atacante controle el servidor VPN remoto al que se conecta el Firebox, por lo que esta condición es relevante para valorar la exposición de cada entorno.

No existe constancia de explotación activa de CVE-2026-86131 según WatchGuard. Esta ausencia de ataques conocidos no elimina el riesgo potencial ni sustituye la necesidad de aplicar las versiones corregidas.

Solución y medidas recomendadas

La medida indicada por WatchGuard consiste en actualizar Fireware OS a una de las siguientes versiones corregidas, según la rama instalada y el modelo de dispositivo:

• 2026.3.2.
• 2026.2.3.
• 12.12.3.
• 12.5.21 para los dispositivos Firebox T15 y T35.

La actualización debe planificarse teniendo en cuenta la versión actualmente desplegada y el modelo de Firebox utilizado, para aplicar la versión corregida correspondiente.

Recomendaciones para organizaciones afectadas

1. Identificar los dispositivos WatchGuard Firebox que ejecuten Fireware OS en las versiones afectadas.
2. Priorizar la actualización a la versión corregida aplicable a cada dispositivo y rama de software.
3. Revisar las conexiones BOVPN sobre TLS configuradas, especialmente aquellas en las que el Firebox opere como cliente frente a servidores VPN remotos.
4. Verificar que los servidores VPN remotos utilizados en estas conexiones sean sistemas autorizados y administrados por la organización o por terceros de confianza.
5. Incluir la comprobación de la actualización en los procedimientos de gestión de vulnerabilidades y de mantenimiento de los dispositivos perimetrales.