CISA bestätigt: WatchGuard-Firebox-RCE wird bei Ransomware-Angriffen eingesetzt

Die US-Behörde für Cybersicherheit und kritische Infrastrukturen (CISA) hat bestätigt, dass Ransomware-Akteure CVE-2025-14733 ausnutzen – eine kritische Schwachstelle zur Remotecodeausführung in WatchGuard-Firebox-Firewalls.

Die CISA hat ihren Known-Exploited-Vulnerabilities-Katalog aktualisiert und die Ransomware-Aktivität markiert. Die Behörde hat weder die beteiligten Ransomware-Gruppen identifiziert noch die Eindringversuche beschrieben oder mitgeteilt, wie viele Organisationen kompromittiert wurden.

Die Schwachstelle ist nicht neu: Die CISA nahm sie am 19. Dezember 2025 in den KEV-Katalog auf, nachdem Exploits in freier Wildbahn nachgewiesen worden waren. Die nun vorgenommene Einstufung als Ransomware-Aktivität zeigt jedoch, dass Angreifer die Schwachstelle mittlerweile in finanziell motivierten Operationen einsetzen – und nicht mehr nur nach verwundbaren Geräten scannen oder diese testen.

Unauthentifizierter Weg zur Codeausführung

CVE-2025-14733 ist ein Out-of-Bounds-Write, klassifiziert als CWE-787, im iked-Prozess von WatchGuard Fireware OS. Dieser Prozess verarbeitet die Internet-Key-Exchange-Operationen für IPsec-VPN-Verbindungen.

Ein entfernter Angreifer kann die Speicherkorruption ohne Credentials oder Benutzerinteraktion auslösen. Bei erfolgreicher Ausnutzung ist eine beliebige Codeausführung auf der Firewall möglich – was einem Eindringling potenziell die Kontrolle über ein Gerät verschaffen kann, das an der Netzwerkgrenze einer Organisation steht.

Die Schwachstelle hat einen CVSS-3.1-Score von 9,8 von 10:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Dieser Vektor spiegelt einen netzwerkbasierten Angriff mit geringer Komplexität wider, der keine Privilegien und keine Aktion eines berechtigten Benutzers voraussetzt. Ein erfolgreicher Angriff kann gravierende Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit haben.

WatchGuard lieferte außerdem folgenden CVSS-4.0-Vektor:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/U:Red

Das NIST hat keine eigene CVSS-4.0-Bewertung veröffentlicht. Der NVD-Eintrag zu CVE-2025-14733 wurde am 19. Dezember 2025 veröffentlicht und zuletzt am 9. September 2026 geändert.

Die Anfälligkeit hängt von der IKEv2-Konfiguration ab – und gelöschte Einstellungen können weiterhin relevant sein

Nicht jede Firebox, auf der eine betroffene Fireware-Version läuft, ist unter den dokumentierten Bedingungen zwangsläufig angreifbar. Das verwundbare Gerät muss für die Verwendung bestimmter IKEv2-VPN-Modi konfiguriert sein oder zuvor konfiguriert gewesen sein.

Die betroffenen Konfigurationen umfassen:

• Mobile-User-VPN mit IKEv2.
• Branch-Office-VPN mit IKEv2 und einem dynamischen Gateway-Peer.
• Einige Geräte, die zuvor eine dieser Konfigurationen nutzten – selbst nach deren Löschung.

Die letzte Bedingung erschwert die Bewertung der Angriffsfläche. Eine Firebox kann auch nach dem Entfernen der entsprechenden Mobile-User- oder Dynamic-Peer-Konfiguration verwundbar bleiben, wenn ein Branch-Office-VPN zu einem statischen Gateway-Peer weiterhin eingerichtet ist.

Daher kann die ausschließliche Prüfung der aktuellen Firewall-Konfiguration unvollständige Ergebnisse liefern. Administratoren sollten die Konfigurationshistorie ebenso auswerten wie die installierte Fireware-Version und dabei WatchGuards Anweisungen folgen, statt einfach davon auszugehen, dass das Löschen eines IKEv2-Profils das Risiko beseitigt hat.

Die technischen Eigenschaften machen Perimeter-Geräte zu attraktiven Zielen. Angreifer benötigen weder einen zuvor kompromittierten Endpunkt noch ein gültiges VPN-Konto, und eine erfolgreich ausgenutzte Firewall kann einen Brückenkopf an einer hochgradig vertrauenswürdigen Netzwerkposition bieten.

Betroffene Fireware-Versionen und Firebox-Modelle

Die NVD-Konfigurationen unterteilen die betroffenen Systeme in drei wesentliche Versionsbereiche und Hardwaregruppen.

Fireware-Versionen ab 11.10.2 (einschließlich) bis 12.5.15 (ausschließlich) sind betroffen auf:

• Firebox T15
• Firebox T35

Versionen ab 11.10.2 (einschließlich) bis 12.11.6 (ausschließlich) sind betroffen auf:

• Firebox M270, M290, M370, M390 und M440
• Firebox M4600, M470, M4800 und M5600
• Firebox M570, M5800, M590, M670 und M690
• Firebox NV5
• Firebox T20, T25, T40, T45, T55, T70, T80 und T85
• FireboxCloud
• FireboxV

Fireware-Versionen ab 2025.1 (einschließlich) bis 2025.1.4 (ausschließlich) sind betroffen auf:

• Firebox M295, M395, M495, M595 und M695
• Firebox T115-W
• Firebox T125 und T125-W
• Firebox T145 und T145-W
• Firebox T185

Die NVD-Softwaretabelle beschreibt die betroffenen Branches zusätzlich als Fireware 2025.1 vor 2025.1.4, Fireware 12.0 vor 12.11.6 und Versionen ab 11.10.2 bis einschließlich 11.12.4+541730. Zudem werden separate betroffene Bereiche für Fireware 12.0 vor 12.3.1+728352 und vor 12.5.15 aufgeführt.

Da die jeweils anwendbare Fixed Release vom Gerät und vom Software-Branch abhängt, sollten Betreiber beide Felder gegen WatchGuards Advisory abgleichen. Eine einzelne Organisation kann unterschiedliche Upgrade-Ziele für ihren Firebox-Bestand benötigen.

Tausende Firewalls weiterhin exponiert

WatchGuard veröffentlichte im Dezember 2025 Patches, bestätigte die aktive Ausnutzung und veröffentlichte IoCs für Kunden, die ihre Geräte untersuchen.

Shadowserver zählte im Dezember 2025 mehr als 115.000 ungepatchte Firebox-Firewalls, die im Internet exponiert waren. Im September 2026 waren knapp 9.000 weiterhin ungesichert. Dieser Rückgang ist beachtlich, doch die verbleibende Zahl bietet Ransomware-Akteuren noch immer einen nennenswerten Pool potenzieller Ziele.

Die betroffene Kundebasis kann über die Organisationen hinausgehen, die WatchGuard-Produkte direkt verwalten. Der Anbieter stellt über mehr als 17.000 Reseller und Dienstleister weltweit Dienste für mehr als 250.000 kleine und mittlere Unternehmen bereit.

Eine kompromittierte Managed Firewall kann daher operationelle und Incident-Response-Folgen für Kunden, Reseller und Managed-Security-Provider nach sich ziehen. Die CISA hat nicht mitgeteilt, ob die bestätigten Ransomware-Angriffe bestimmte Sektoren oder Regionen betrafen.

Frist zur Behebung für Bundesbehörden bereits abgelaufen

Die CISA nahm CVE-2025-14733 am 19. Dezember 2025 in den KEV-Katalog auf. Gemäß Binding Operational Directive 22-01 hatten US-Bundesbehörden bis zum 26. Dezember 2025 Zeit, die Schwachstelle zu beheben.

Die geforderte Maßgabe ist eindeutig: die vom Hersteller bereitgestellten Maßnahmen anwenden, die einschlägigen BOD-22-01-Vorgaben für Cloud-Services befolgen oder das Produkt abstellen, falls keine Maßnahmen verfügbar sind.

Andere Organisationen sind nicht an diese Bundesfrist gebunden, doch die Kombination aus KEV-Aufnahme, bestätigter Ransomware-Ausnutzung und einem per Fernzugriff erreichbaren Angriffspfad rechtfertigt umgehendes Handeln.

Verteidiger sollten:

1. Physische, virtuelle und cloudbasierte Firebox-Deployments inventarisieren.
2. Das exakte Gerätemodell und den installierten Fireware-Build ermitteln.
3. Auf die vom Hersteller veröffentlichte Fixed Version aktualisieren.
4. Sowohl aktuelle als auch frühere IKEv2-VPN-Konfigurationen prüfen.
5. Die von WatchGuard veröffentlichten IoCs auswerten.
6. Verdächtige Befunde als mögliche Kompromittierung behandeln, nicht lediglich als Patching-Problem.
7. Geräte, die nicht aktualisiert oder abgesichert werden können, isolieren oder außer Betrieb nehmen.

Ein Patch schließt die Schwachstelle, beseitigt aber keine Persistenz oder andere Veränderungen, die im Rahmen einer früheren Kompromittierung vorgenommen wurden. Geräte, die vor dem Upgrade exponiert waren, erfordern eine separate forensische Untersuchung.

CVE-2025-14733 reiht sich in weitere ausgenutzte WatchGuard-Schwachstellen ein

Dies ist nicht die erste Firebox-Schwachstelle von WatchGuard, die in den CISA-Katalog aufgenommen wurde.

CVE-2025-9242 ist ein weiterer mit 9,8 bewerteter Out-of-Bounds-Write im iked-Prozess von Fireware. Auch er ermöglicht unauthentifizierte Remotecodeausführung unter im Wesentlichen vergleichbaren IKEv2-Bedingungen mit dynamischen und statischen Peers.

WatchGuard patchte CVE-2025-9242 im September 2025. Die CISA nahm die Schwachstelle am 12. November 2025 in den KEV-Katalog auf und setzte die bundesweite Behebungsfrist auf den 3. Dezember 2025. Shadowserver identifizierte im Anschluss mehr als 75.000 verwundbare Firebox-Geräte.

Eine frühere Schwachstelle, CVE-2022-23176, betraf Firebox- und XTM-Geräte. Anders als die beiden iked-Schwachstellen erforderte sie unprivilegierte Credentials und konnte eine privilegierte Management-Sitzung offenlegen, wenn der Managementzugang erreichbar war. Die CISA nahm sie am 11. April 2022 in den KEV-Katalog auf, mit einer Behebungsfrist zum 2. Mai 2022.

Für CVE-2025-14733 sind die unmittelbaren Prioritäten enger gefasst: die Fixed-Fireware-Version installieren, die historische IKEv2-Exposition prüfen und auf Kompromittierung untersuchen. Die Ransomware-Kennzeichnung bedeutet, dass verwundbare Geräte nicht länger nur als theoretisches Risiko behandelt werden sollten.