WID-⁠SEC-⁠2026-⁠4209: WatchGuard Fireware OS – Firebox-⁠Systeme gezielt aktualisieren

WatchGuard hat 17 Schwachstellen in Fireware OS und eine weitere im Windows-⁠VPN-⁠Client behoben; sieben der Lücken erreichen CVSS-⁠Werte von 9,1 bis 9,5. Das BSI bewertet die Gesamtlage im Hinweis WID-⁠SEC-⁠2026-⁠4209 mit 10,0 von 10 Punkten als maximal kritisch, obwohl bislang keine Angriffe oder Exploits bekannt sind.

Aktivierte Firebox-⁠Funktionen bestimmen die Priorität

Die schwerwiegendsten Probleme betreffen laut Meldung vor allem Firebox-⁠Geräte, auf denen bestimmte Komponenten aktiviert sind. Genannt werden Access Portal, SIP-⁠Proxy und FireCluster. Diese Funktionen erfüllen unterschiedliche Aufgaben: Das Access Portal kann den Fernzugriff ermöglichen, ein SIP-⁠Proxy verarbeitet VoIP-⁠Kommunikation und FireCluster dient der Hochverfügbarkeit. Entscheidend ist deshalb nicht allein, dass ein Gerät eine WatchGuard-⁠Firewall ist, sondern welche dieser Komponenten in der konkreten Konfiguration laufen.

Je nach Schwachstelle können Angreifer Sicherheitsvorkehrungen umgehen, beliebigen Code auf betroffenen Geräten ausführen, vertrauliche Informationen offenlegen oder einen Denial-⁠of-⁠Service-⁠Angriff auslösen. Die Meldung ordnet diese möglichen Folgen den Schwachstellen insgesamt zu; sie bedeutet nicht, dass jede einzelne Lücke alle genannten Auswirkungen hat. Bei einer Firewall ist eine erfolgreiche Kompromittierung besonders ernst zu nehmen, weil das Gerät Netzwerkverkehr, VPN-⁠Verbindungen und Zugriffsregeln kontrollieren kann. Auch eine mögliche Content-⁠Filterung kann betroffen sein.

Ob eine aktivierte Funktion aus dem Internet erreichbar ist, hängt von der jeweiligen Konfiguration ab. Genau diese Kombination aus Funktion und Erreichbarkeit sollte die Reihenfolge der Bearbeitung bestimmen. Ein Gerät mit aktivem Access Portal, SIP-⁠Proxy oder FireCluster und einer von außen erreichbaren Schnittstelle verdient besondere Aufmerksamkeit.

Für Firebox und Windows-⁠VPN-⁠Client gelten getrennte Updates

WatchGuard stellt Korrekturen für mehrere Produktstände bereit. Für aktuelle Firebox-⁠Systeme nennt die Meldung Fireware OS 2026.4 und 12.12.4. Für die älteren Modelle T15 und T35 ist Fireware OS 12.5.22 vorgesehen. Der Windows-⁠VPN-⁠Client wird auf Version 2026.4 aktualisiert.

Diese Angaben sollten nicht zu einem einzigen pauschalen Updateziel zusammengezogen werden: Das passende Paket hängt davon ab, welches Produkt und welcher Gerätestand im Einsatz sind. Der Windows-⁠VPN-⁠Client ist außerdem ein eigener Prüfpunkt. Ein Unternehmen kann also die Firebox aktualisieren und dennoch eine betroffene Client-⁠Installation übersehen, wenn es die beiden Komponenten gemeinsam als „VPN“ betrachtet.

Erst Konfiguration und Erreichbarkeit abgleichen

Für die Priorisierung hilft eine kurze Bestandsaufnahme der betroffenen Zugangswege. Erfassen Sie, auf welchen Firebox-⁠Geräten Access Portal, SIP-⁠Proxy oder FireCluster aktiv sind. Prüfen Sie anschließend, ob die zugehörigen Schnittstellen aus dem Internet erreichbar sind. Diese Prüfung verbindet die vom BSI hervorgehobenen Komponenten mit der tatsächlichen Exposition Ihrer Umgebung, statt alle Geräte ohne Unterschied gleich zu behandeln.

Beziehen Sie auch die Nutzung von VPN-⁠Zugängen über das Access Portal und den Windows-⁠Client ein. Damit wird sichtbar, welche Systeme für den Fernzugriff eingesetzt werden und welche Client-⁠Installationen neben den Firebox-⁠Geräten aktualisiert werden müssen. Für jedes betroffene Produkt ist dann der dazugehörige korrigierte Stand maßgeblich: Fireware OS für die Firebox, die passende ältere Version für T15 und T35 sowie die angegebene Version des Windows-⁠Clients.

Nach dem Update Zugriffe kontrollieren

Nach der Aktualisierung sollte die Prüfung nicht mit der Versionskontrolle enden. Sehen Sie nach ungewöhnlichen Anmeldungen, neuen Verbindungen und verdächtigen Konfigurationsänderungen. Das ist besonders für VPN-⁠Zugänge relevant, weil sie Verbindungen in interne Netzwerke ermöglichen. Die Kontrolle ergänzt das Patchen: Sie prüft, ob neben der bekannten Schwachstelle auch auffällige Aktivitäten oder Änderungen sichtbar sind.

Dass bislang keine Ausnutzung bekannt ist, ist eine Momentaufnahme und kein Grund, betroffene Systeme aufzuschieben. Zugleich rechtfertigt die hohe Gesamtbewertung keine Behauptung, jede WatchGuard-⁠Installation sei gleichermaßen exponiert. Maßgeblich sind die betroffenen Produktstände und die konkret aktivierten, erreichbaren Funktionen.

Die Bearbeitungsreihenfolge sollte sich an diesen drei Punkten orientieren: betroffenes Produkt, aktivierte Funktion und Erreichbarkeit aus dem Internet.

Quellen: B2B-⁠Cyber-⁠Security – „WatchGuard Fireware OS: 18 Schwachstellen, 7 davon kritisch“ (https://b2b-cyber-security.de/watchguard-fireware-os-18-schwachstellen-7-davon-kritisch/)