WatchGuard разкри седем критични уязвимости в Fireware OS в бюлетин от 27 октомври 2026 г., засягащи защитните стени Firebox и потенциално позволяващи отдалечено изпълнение на код, инжектиране на действия на ниво root и повреждане на паметта.
Те са част от по-голям пакет с актуализации, който обхваща 18 проблема със сигурността в Fireware OS и клиента Windows Mobile VPN with SSL. Седемте критични позиции имат оценки за тежест между 9.1 и 9.5.
Други проблеми в пакета биха могли да разкрият тайни от конфигурацията, да позволят промени във файлове с root права, да превземат сесии или да нарушат работата на услугите на защитната стена. Рисковете варират според услугата, версията на софтуера и достъпа, от който се нуждае атакуващият.
Проблемът с най-висока оценка, CVE-2026-103594, има рейтинг 9.5 и представлява препълване на стековия буфер (stack buffer overflow) в конфигурацията на WireGuard, което позволява отдалечено изпълнение на код. Засегнатите версии обхващат Fireware OS от 2026.2 до версии преди 2026.4 и от 12.12 до версии преди 12.12.4.
Още два дефекта, CVE-2026-112709 и CVE-2026-112710, имат оценка 9.2. И двата включват препълване на динамичната памет (heap buffer overflow) в услугата за автентикация на Active Directory и позволяват отдалечено изпълнение на код преди автентикация.
WatchGuard разкрива критични дефекти в защитните си стени
Индексираният бюлетин на WatchGuard потвърждава това описание за CVE-2026-112710. Тези грешки са особено опасни, тъй като за атакуващите не е необходимо да са се автентикирали, преди да задействат уязвимия код.
CVE-2026-93857, също с оценка 9.2, засяга SIP проксито и позволява отдалечено изпълнение на код преди автентикация чрез препълване на стековия буфер. CVE-2026-103593 има оценка 9.1 и засяга услугата за регистриране на събития (logging service), където друго препълване на стековия буфер може да позволи отдалечено изпълнение на код.
Останалите критични проблеми засягат синхронизацията на FireCluster и Access Portal. CVE-2026-93865 има оценка 9.2 и се дължи на липсваща автентикация в демона за синхронизация на FireCluster, което позволява отдалечено инжектиране на действия с права root.
| CVE ID | CVSS | Компонент | Уязвимост |
|---|---|---|---|
| CVE-2026-103594 | 9.5 | WireGuard | Препълване на стековия буфер |
| CVE-2026-112710 | 9.2 | Active Directory услуга | Препълване на динамичната памет |
| CVE-2026-112709 | 9.2 | Active Directory услуга | Препълване на динамичната памет |
| CVE-2026-93865 | 9.2 | FireCluster демон | Липсваща автентикация |
| CVE-2026-93857 | 9.2 | SIP прокси | Препълване на стековия буфер |
| CVE-2026-93866 | 9.2 | Access Portal | Препълване на целочислен тип |
| CVE-2026-103593 | 9.1 | Услуга за регистриране на събития | Препълване на стековия буфер |
CVE-2026-93866 има същата оценка и се изразява в препълване на целочислен тип (integer overflow) преди автентикация в Access Portal, което позволява запис извън границите на буфера (out-of-bounds write). Това описание установява повреждане на паметта, но не и потвърдено изпълнение на код.
Две позиции с по-ниска оценка също включват достъп на ниво root. CVE-2026-90464 позволява на автентикиран атакуващ да модифицира произволни файлове като root поради липса на валидация на команди. CVE-2026-93864 позволява на локален атакуващ да презаписва произволни файлове като root чрез уязвимост при проследяване на връзки (link-following) в firewalld.
Предишни доклади относно уязвимости в WatchGuard Firebox OS обхващаха отделни проблеми с изпълнение на код след автентикация и запис на файлове. Тези по-стари дефекти не бива да се бъркат с настоящото издание.
За повечето изброени проблеми в Fireware OS предоставената информация посочва 2026.4 и 12.12.4 като коригирани версии. Където е приложимо, устройствата T15 и T35 изискват версия 12.5.22. Проблемът с разкриването на идентификационни данни в клиента Windows SSL VPN е отстранен във версия 2026.4.
Предишни публикации относно експлоатирана zero-day уязвимост в WatchGuard касаеха CVE-2025-14733, а не новообявените дефекти. Това не доказва активна експлоатация на настоящите уязвимости.
Не успяхме да извлечем пълните страници на бюлетина по време на проверката. Освен индексираното потвърждение, отбелязано по-горе, детайлите от разкриването през октомври и версиите на корекциите за сигурност остават базирани на предоставения списък и изискват потвърждение преди публикация.