WatchGuard разкри три уязвимости в сигурността, засягащи устройствата WatchGuard AP, включително два критични недостатъка, които биха могли да позволят на атакуващи да получат достъп без автентификация и да изпълняват команди върху засегнатите точки за достъп.

Организациите, използващи софтуер (firmware) за WatchGuard AP, по-стар от версия 3.4.8, трябва незабавно да инсталират наличната корекция за сигурност. Уязвимостите бяха публикувани на 28 септември 2026 г. и засягат версии на WatchGuard AP от 1.0 до 3.4.7.

WatchGuard отстрани и трите проблема във версия 3.4.8. Най-сериозният проблем, проследяван като CVE-2026-86102, има CVSS v4 оценка 9.3. Уязвимостта представлява проблем с инжектиране на команди в операционната система (OS command injection) във вътрешната API услуга за управление.

Атакуващ с мрежов достъп до уязвима точка за достъп WatchGuard AP би могъл да изпрати специално конфигурирани данни, за да предизвика изпълнение на произволни командни шел (shell) команди в базисната операционна система.

Не се изисква автентификация или взаимодействие с потребителя, което прави уязвимостта изключително опасна в случаите, когато засегнатата API услуга е достъпна от ненадеждни мрежи.

Уязвимости в API на WatchGuard

Втора критична уязвимост, CVE-2026-101891, също е с оценка 9.3. Тя произтича от неправилен контрол на достъпа във вътрешна API услуга на точките за достъп WatchGuard. Недостатъкът позволява на атакуващ без автентификация, имащ мрежов достъп, да достигне до функционалности, които трябва да бъдат защитени.

Този проблем може да предостави възможност на атакуващите да взаимодействат с вътрешни възможности за управление и потенциално да улесни последващи опити за компрометиране на устройството или свързаната с него среда.

Третата уязвимост, CVE-2026-87969, е проблем с инжектиране на команди с висока степен на опасност и CVSS v4 оценка 8.6. За разлика от двете критични уязвимости, нейното експлоатиране изисква автентикирани администраторски права.

Злонамерен или компрометиран администраторски акаунт би могъл да подаде специално конфигурирани данни през диагностичния интерфейс с команден ред и да изпълни произволни команди в операционната система на WatchGuard AP.

Уязвимостите от тип инжектиране на команди са особено сериозни при мрежовите устройства, тъй като компрометираните точки за достъп могат да се превърнат в отправна точка за проникване в корпоративните мрежи.

Атакуващите могат да използват изпълнението на команди, за да събират данни за конфигурацията, да променят настройки на устройството, да инсталират механизми за персистентност, да прихващат мрежов трафик или да се опитат да извършат странично движение към други системи.

Устройствата, които са достъпни през мрежи за управление, канали за отдалечен достъп или лошо сегментирана безжична инфраструктура, са изложени на по-висок риск.

Екипите по сигурност трябва първо да идентифицират всички внедрени устройства WatchGuard AP и да проверят техните версии на фърмуера. С предимство трябва да се актуализират устройствата, работещи с версия, по-стара от 3.4.8.

Администраторите трябва също така да ограничат достъпа до интерфейсите за управление на AP и вътрешните API услуги. Те трябва да бъдат достъпни само от надеждни административни мрежи.

Организациите трябва да прегледат дневниците за достъп, административната активност, използването на диагностичния CLI и промените в конфигурацията за признаци на неочаквано поведение. Те трябва също така да подменят административните идентификационни данни, ако има данни, че акаунт за управление на AP е бил изложен на риск.

Мрежовата сегментация може да намали въздействието от компрометирано безжично устройство, като ограничи възможността му да комуникира с критични вътрешни системи.

Към момента няма публични данни за активно експлоатиране или публично достъпен доказателствен код (proof-of-concept) за разкритите уязвимости. Въпреки това липсата на изискване за автентификация и критичната степен на опасност на недостатъците във вътрешното API правят бързото инсталиране на корекции за сигурност от съществено значение за среди с WatchGuard AP.