Vulnerabilidades y Avisos de Seguridad: Múltiples vulnerabilidades en Fireware OS de WatchGuard

Resumen de la alerta

WatchGuard ha publicado correcciones para siete vulnerabilidades en Fireware OS, el sistema operativo de los dispositivos Firebox. Seis de ellas tienen severidad crítica y una ha sido clasificada como alta.

Los fallos podrían permitir, según el componente afectado y la configuración del dispositivo, la ejecución de código arbitrario, la realización de acciones administrativas sin autenticación, la corrupción de memoria o la denegación de servicio.

La información disponible indica “Explotación: No” para los CVE identificados. Por tanto, se trata de vulnerabilidades que requieren actuación preventiva, pero no hay constancia en este aviso de explotación activa o ataques confirmados que las estén aprovechando.

Recursos afectados

El aviso afecta a dispositivos Firebox que ejecuten las siguientes versiones de Fireware OS:

• Versiones desde 2025.1 y anteriores a 2026.4.
• Versiones desde 12.0 y anteriores a 12.12.4.
• En los modelos T15 y T35, versiones desde 12.0 y anteriores a 12.5.22.

Además, CVE-2026-103594 afecta específicamente a las versiones desde 2026.2 y anteriores a 2026.4, así como desde 12.12 y anteriores a 12.12.4, cuando el equipo está configurado como FireCloud Gateway.

Descripción de las vulnerabilidades

Las vulnerabilidades afectan a varios servicios y funcionalidades de Fireware OS. Una parte relevante de los fallos se relaciona con desbordamientos de búfer o de enteros, errores que pueden producirse cuando un componente procesa datos manipulados y escribe información fuera de los límites previstos en memoria.

• CVE-2026-103594: desbordamiento de búfer en la pila durante el procesamiento de la configuración de WireGuard. Podría provocar una denegación de servicio o ejecución de código. Requiere que el atacante actúe como intermediario con acceso al tráfico TLS descifrado entre Firebox y WatchGuard Cloud, además de modificar la configuración de FireCloud Gateway.
• CVE-2026-112710: desbordamiento de búfer en el montículo del servicio de autenticación. Un atacante podría causar una denegación de servicio o ejecutar código mediante una respuesta manipulada del servidor Active Directory. Para ello, debe controlar ese servidor o interceptar las comunicaciones con él.
• CVE-2026-112709: segundo desbordamiento de búfer en el montículo del servicio de autenticación, también relacionado con respuestas manipuladas de Active Directory. Las condiciones previas son controlar el servidor Active Directory configurado o interceptar sus comunicaciones.
• CVE-2026-93865: falta de autenticación en el servicio de sincronización de FireCluster. Un atacante remoto podría invocar acciones administrativas privilegiadas mediante solicitudes dirigidas a la dirección IP de gestión del clúster. Requiere que FireCluster esté habilitado.
• CVE-2026-93857: desbordamiento de búfer en la pila del proxy SIP. Podría permitir la ejecución de código por parte de un atacante remoto sin autenticación mediante una petición manipulada que atraviese una política que utilice dicho proxy.
• CVE-2026-93866: desbordamiento de enteros en la gestión de conexiones WebSocket de Access Portal. Podría permitir a un atacante remoto sin autenticación escribir fuera de los límites de un búfer en el montículo. Requiere que Access Portal esté habilitado.
• CVE-2026-103593: vulnerabilidad de severidad alta identificada en el aviso. La información facilitada la asocia con un desbordamiento de búfer en el servicio de registro que podría permitir ejecución remota de código, sin que se aporten más condiciones técnicas en el detalle disponible.

Impacto y nivel de riesgo

La prioridad de esta alerta es elevada debido al número de vulnerabilidades críticas y a que varias de ellas podrían derivar en ejecución remota de código. Este tipo de impacto podría permitir que un atacante ejecute instrucciones en el dispositivo afectado si se cumplen las condiciones concretas de cada fallo.

También destaca CVE-2026-93865, ya que podría posibilitar acciones administrativas privilegiadas sin autenticación en entornos donde FireCluster esté activado y el atacante pueda dirigir peticiones a la IP de gestión del clúster.

No todas las vulnerabilidades presentan las mismas condiciones de explotación. Algunas requieren funcionalidades concretas habilitadas, como FireCloud Gateway, FireCluster, Access Portal o el proxy SIP. Otras dependen de que el atacante pueda controlar o interceptar comunicaciones con un servidor Active Directory configurado.

La ausencia de explotación conocida no elimina el riesgo potencial. Las organizaciones afectadas deberían revisar sus versiones y configuraciones para determinar su exposición y aplicar las actualizaciones disponibles.

Solución y medidas recomendadas

La medida oficial indicada es actualizar Fireware OS a la versión corregida correspondiente:

• 2026.4 para la línea 2025/2026.
• 12.12.4 para la línea 12.x.
• 12.5.22 para los modelos T15 y T35.

Las correcciones específicas se detallan en los boletines publicados por el fabricante.

Como medida de gestión previa a la actualización, conviene identificar los dispositivos Firebox en las versiones afectadas y determinar cuáles tienen habilitadas las funciones mencionadas en el aviso. Esta revisión no sustituye la aplicación de las versiones corregidas.

Recomendaciones para organizaciones afectadas

1. Inventariar los dispositivos Firebox y comprobar la versión de Fireware OS instalada en cada uno.
2. Priorizar la actualización de equipos expuestos a políticas que utilicen el proxy SIP, con Access Portal habilitado, configurados como FireCloud Gateway o integrados en FireCluster.
3. Revisar los entornos que utilizan autenticación contra Active Directory, especialmente cuando las comunicaciones con dicho servidor puedan requerir controles adicionales de protección y supervisión.
4. Confirmar qué dispositivos T15 y T35 continúan utilizando versiones anteriores a 12.5.22.
5. Planificar y aplicar la actualización a la versión corregida que corresponda a cada línea de producto.