La CISA confirme que la faille RCE des pare-feu WatchGuard Firebox est exploitée dans des attaques par rançongiciel

L’agence américaine de cybersécurité et de sécurité des infrastructures (CISA) a confirmé que des opérateurs de rançongiciels exploitent CVE-2025-14733, une vulnérabilité critique d’exécution de code à distance dans les pare-feu WatchGuard Firebox.

La CISA a mis à jour son catalogue des vulnérabilités exploitées connues (Known Exploited Vulnerabilities, KEV) pour signaler cette activité de rançongiciel. L’agence n’a pas identifié les groupes de rançongiciels impliqués, décrit les intrusions ni communiqué le nombre d’organisations compromises.

La vulnérabilité n’est pas nouvelle : la CISA l’a ajoutée au catalogue KEV le 19 décembre 2025, après avoir détecté son exploitation dans la nature. Toutefois, la qualification de rançongiciel établit que les attaquants utilisent désormais la faille dans des opérations à motivation financière, et non plus seulement pour scanner ou tester des équipements vulnérables.

Une voie d’exécution de code sans authentification

CVE-2025-14733 est une écriture hors limites, classée CWE-787, dans le processus iked de WatchGuard Fireware OS. Ce processus gère les opérations Internet Key Exchange associées aux connexions VPN IPsec.

Un attaquant distant peut déclencher la corruption de mémoire sans identifiants ni interaction de l’utilisateur. Une exploitation réussie permet l’exécution de code arbitraire sur le pare-feu, offrant potentiellement à un intrus le contrôle d’un équipement situé à la frontière du réseau de l’organisation.

La vulnérabilité affiche un score CVSS 3.1 de 9,8 sur 10 :

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Ce vecteur correspond à une attaque accessible par le réseau, de faible complexité, ne nécessitant ni privilèges ni action d’un utilisateur légitime. Une attaque réussie peut avoir un impact élevé sur la confidentialité, l’intégrité et la disponibilité.

WatchGuard a également fourni le vecteur CVSS 4.0 suivant :

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/U:Red

Le NIST n’a pas publié sa propre évaluation CVSS 4.0. La fiche NVD de CVE-2025-14733 a été publiée le 19 décembre 2025 et modifiée pour la dernière fois le 9 septembre 2026.

L’exposition dépend de la configuration IKEv2 — et des paramètres supprimés peuvent encore avoir une incidence

Tous les Firebox exécutant une version affectée de Fireware ne sont pas nécessairement exploitables dans les conditions documentées. L’équipement vulnérable doit être configuré, ou avoir été configuré auparavant, pour utiliser certains modes VPN IKEv2.

Les configurations concernées sont notamment :

• Mobile User VPN utilisant IKEv2.
• Branch Office VPN utilisant IKEv2 avec une passerelle homologue dynamique.
• Certains équipements ayant utilisé l’une de ces configurations par le passé, même après sa suppression.

Cette dernière condition complique l’évaluation de l’exposition. Un Firebox peut rester vulnérable après la suppression par les administrateurs de la configuration mobile-user ou à homologue dynamique concernée si une connexion Branch Office VPN vers une passerelle homologue statique reste configurée.

Par conséquent, vérifier uniquement la configuration actuelle du pare-feu peut donner un résultat incomplet. Les administrateurs doivent évaluer l’historique de configuration ainsi que la version de Fireware installée, en suivant les instructions de WatchGuard, plutôt que de supposer que la suppression d’un profil IKEv2 a éliminé le risque.

Ces caractéristiques techniques font des équipements de périmètre des cibles attractives. Les attaquants n’ont pas besoin d’un poste déjà compromis ni d’un compte VPN valide, et un pare-feu exploité avec succès peut offrir un point d’ancrage à un emplacement du réseau hautement fiable.

Versions de Fireware et modèles Firebox affectés

Les configurations NVD répartissent les systèmes affectés en trois grandes plages de versions et familles de matériels.

Les versions de Fireware de 11.10.2 incluse à 12.5.15 exclue sont affectées sur :

• Firebox T15
• Firebox T35

Les versions de 11.10.2 incluse à 12.11.6 exclue sont affectées sur :

• Firebox M270, M290, M370, M390 et M440
• Firebox M4600, M470, M4800 et M5600
• Firebox M570, M5800, M590, M670 et M690
• Firebox NV5
• Firebox T20, T25, T40, T45, T55, T70, T80 et T85
• FireboxCloud
• FireboxV

Les versions de Fireware de 2025.1 incluse à 2025.1.4 exclue sont affectées sur :

• Firebox M295, M395, M495, M595 et M695
• Firebox T115-W
• Firebox T125 et T125-W
• Firebox T145 et T145-W
• Firebox T185

Le tableau logiciel de la NVD décrit en outre les branches affectées comme Fireware 2025.1 avant 2025.1.4, Fireware 12.0 avant 12.11.6, ainsi que les versions allant de 11.10.2 à 11.12.4+541730. Il répertorie aussi des plages affectées distinctes pour Fireware 12.0 avant 12.3.1+728352 et avant 12.5.15.

Étant donné que la version corrigée applicable dépend de l’équipement et de la branche logicielle, les opérateurs doivent vérifier ces deux champs par rapport à l’avis de WatchGuard. Une même organisation peut avoir besoin de cibles de mise à niveau différentes au sein de son parc Firebox.

Des milliers de pare-feu vulnérables restent exposés

WatchGuard a publié des correctifs en décembre 2025, a reconnu une exploitation active et a mis à disposition des indicateurs de compromission pour les clients qui examinent leurs équipements.

Shadowserver a recensé plus de 115 000 pare-feu Firebox non corrigés exposés en ligne en décembre 2025. Près de 9 000 restaient non sécurisés en septembre 2026. Cette réduction est substantielle, mais la population restante offre encore aux opérateurs de rançongiciel un réservoir significatif de cibles potentielles.

La base de clients concernés peut dépasser les organisations qui gèrent directement les produits WatchGuard. L’éditeur fournit des services à plus de 250 000 petites et moyennes entreprises par l’intermédiaire de plus de 17 000 revendeurs et prestataires de services dans le monde.

Un pare-feu géré compromis peut donc avoir des conséquences opérationnelles et de réponse à incident pour les clients, les revendeurs et les prestataires de sécurité gérée. La CISA n’a pas indiqué si les attaques par rançongiciel confirmées avaient touché un secteur ou une région en particulier.

La date limite fédérale de remédiation est déjà passée

La CISA a inscrit CVE-2025-14733 au catalogue KEV le 19 décembre 2025. En vertu de la directive opérationnelle contraignante 22-01 (Binding Operational Directive 22-01), les agences civiles fédérales américaines avaient jusqu’au 26 décembre 2025 pour y remédier.

La mesure requise est explicite : appliquer les mesures d’atténuation de l’éditeur, suivre les consignes BOD 22-01 applicables aux services cloud, ou cesser d’utiliser le produit si aucune mesure d’atténuation n’est disponible.

Les autres organisations ne sont pas tenues par cette échéance fédérale, mais la combinaison d’une inscription au catalogue KEV, d’une exploitation confirmée par rançongiciel et d’un chemin d’attaque accessible à distance justifie un traitement urgent.

Les défenseurs devraient :

1. Inventorier les déploiements Firebox physiques, virtuels et cloud.
2. Identifier le modèle exact de l’équipement et la build Fireware installée.
3. Mettre à niveau vers la version corrigée appropriée publiée par WatchGuard.
4. Examiner les configurations VPN IKEv2 actuelles et antérieures.
5. Consulter les indicateurs de compromission publiés par WatchGuard.
6. Traiter toute découverte suspecte comme une compromission possible, et non comme un simple problème de correctif.
7. Isoler ou mettre hors service les équipements qui ne peuvent pas être mis à jour ni atténués.

L’application du correctif referme la vulnérabilité, mais ne supprime pas la persistance ni d’autres modifications effectuées lors d’une compromission antérieure. Les équipements exposés avant la mise à niveau nécessitent un examen forensique distinct.

CVE-2025-14733 s’ajoute à d’autres failles WatchGuard exploitées

Ce n’est pas la première vulnérabilité récente de WatchGuard sur Firebox à figurer au catalogue de la CISA.

CVE-2025-9242 est une autre écriture hors limites évaluée à 9,8 dans le processus iked de Fireware. Elle permet également une exécution de code à distance sans authentification dans des conditions IKEv2 à homologues dynamiques et statiques largement similaires.

WatchGuard a corrigé CVE-2025-9242 en septembre 2025. La CISA l’a ajoutée au catalogue KEV le 12 novembre 2025 et a fixé une date limite fédérale de remédiation au 3 décembre 2025. Shadowserver a ensuite identifié plus de 75 000 équipements Firebox vulnérables.

Un problème plus ancien, CVE-2022-23176, a affecté les équipements Firebox et XTM. Contrairement aux deux failles iked, il nécessitait des identifiants non privilégiés et pouvait exposer une session de gestion privilégiée lorsque l’accès à la gestion était joignable. La CISA l’a ajoutée au catalogue KEV le 11 avril 2022, avec une date limite de remédiation au 2 mai 2022.

Pour CVE-2025-14733, les priorités immédiates sont plus restreintes : installer la version corrigée de Fireware, vérifier l’exposition historique à IKEv2 et rechercher une éventuelle compromission. Le signalement de rançongiciel signifie que les équipements vulnérables ne doivent plus être traités comme porteurs d’un simple risque théorique.