CISA Conferma che l'RCE su WatchGuard Firebox Viene Sfruttato in Attacchi Ransomware

La Cybersecurity and Infrastructure Security Agency statunitense ha confermato che gli operatori ransomware stanno sfruttando CVE-2025-14733, una vulnerabilità critica di esecuzione di codice remoto nei firewall WatchGuard Firebox.

CISA ha aggiornato il catalogo Known Exploited Vulnerabilities per segnalare l'attività ransomware. L'agenzia non ha identificato i gruppi ransomware coinvolti, né descritto le intrusioni o reso noto quante organizzazioni siano state compromesse.

La vulnerabilità non è nuova: CISA l'ha aggiunta al catalogo KEV il 19 dicembre 2025, dopo che lo sfruttamento era stato rilevato in ambienti reali. Tuttavia, la designazione ransomware stabilisce che gli aggressori stanno ora usando la falla in operazioni motivate finanziariamente, anziché solo per scansioni o test di dispositivi vulnerabili.

Un percorso non autenticato verso l'esecuzione di codice

CVE-2025-14733 è una scrittura fuori dai limiti, classificata come CWE-787, nel processo iked di WatchGuard Fireware OS. Tale processo gestisce le operazioni Internet Key Exchange associate alle connessioni VPN IPsec.

Un aggressore remoto può innescare la corruzione della memoria senza credenziali né interazione dell'utente. Lo sfruttamento riuscito consente l'esecuzione di codice arbitrario sul firewall, potenzialmente dando a un intruso il controllo su un dispositivo collocato al confine della rete di un'organizzazione.

La vulnerabilità ha un punteggio CVSS 3.1 di 9,8 su 10:

CVSS:3.1/AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H

Tale vettore riflette un attacco raggiungibile via rete che richiede bassa complessità, nessun privilegio e nessuna azione da parte di un utente legittimo. Un attacco riuscito può avere un impatto elevato su riservatezza, integrità e disponibilità.

WatchGuard ha inoltre fornito il seguente vettore CVSS 4.0:

CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/U:Red

NIST non ha pubblicato una propria valutazione CVSS 4.0. La voce NVD per CVE-2025-14733 è stata pubblicata il 19 dicembre 2025 e modificata l'ultima volta il 9 settembre 2026.

L'esposizione dipende dalla configurazione IKEv2 e le impostazioni eliminate possono ancora contare

Non tutti i Firebox che eseguono una release Fireware interessata sono necessariamente sfruttabili nelle condizioni documentate. Il dispositivo vulnerabile deve essere configurato, o essere stato configurato in precedenza, per usare particolari modalità VPN IKEv2.

Le configurazioni interessate includono:

• Mobile User VPN che utilizza IKEv2.
• Branch Office VPN che utilizza IKEv2 con un peer di gateway dinamico.
• Alcuni dispositivi che in precedenza usavano una di quelle configurazioni, anche dopo che è stata eliminata.

L'ultima condizione complica la valutazione dell'esposizione. Un Firebox può restare vulnerabile anche dopo che gli amministratori hanno rimosso la configurazione mobile-user o con peer dinamico pertinente, se rimane configurata una Branch Office VPN verso un peer di gateway statico.

Di conseguenza, controllare solo la configurazione corrente del firewall può produrre un risultato incompleto. Gli amministratori dovrebbero valutare anche la cronologia della configurazione e la versione di Fireware installata, seguendo le istruzioni di WatchGuard anziché presumere che l'eliminazione di un profilo IKEv2 abbia rimosso il rischio.

Le caratteristiche tecniche rendono gli appliance perimetrali bersagli interessanti. Gli aggressori non hanno bisogno di un endpoint precedentemente compromesso né di un account VPN valido e un firewall sfruttato con successo può fornire un punto d'appoggio in una posizione di rete altamente attendibile.

Release Fireware e modelli Firebox interessati

Le configurazioni NVD suddividono i sistemi interessati in tre intervalli di versioni e gruppi hardware principali.

Le versioni Fireware dalla 11.10.2 inclusa alla 12.5.15 esclusa sono interessate su:

• Firebox T15
• Firebox T35

Le versioni dalla 11.10.2 inclusa alla 12.11.6 esclusa sono interessate su:

• Firebox M270, M290, M370, M390 e M440
• Firebox M4600, M470, M4800 e M5600
• Firebox M570, M5800, M590, M670 e M690
• Firebox NV5
• Firebox T20, T25, T40, T45, T55, T70, T80 e T85
• FireboxCloud
• FireboxV

Le versioni Fireware dalla 2025.1 inclusa alla 2025.1.4 esclusa sono interessate su:

• Firebox M295, M395, M495, M595 e M695
• Firebox T115-W
• Firebox T125 e T125-W
• Firebox T145 e T145-W
• Firebox T185

La tabella software NVD descrive inoltre i rami interessati come Fireware 2025.1 precedente alla 2025.1.4, Fireware 12.0 precedente alla 12.11.6 e le release a partire dalla 11.10.2 fino alla 11.12.4+541730. Elenca inoltre intervalli interessati separati per Fireware 12.0 precedente alla 12.3.1+728352 e precedente alla 12.5.15.

Poiché la release correttiva applicabile dipende dall'appliance e dal ramo software, gli operatori dovrebbero confrontare entrambi i campi con l'advisory di WatchGuard. Una singola organizzazione potrebbe aver bisogno di obiettivi di aggiornamento diversi nel proprio parco Firebox.

Migliaia di firewall vulnerabili restano esposti

WatchGuard ha rilasciato le patch a dicembre 2025, ha riconosciuto lo sfruttamento attivo e ha pubblicato indicatori di compromissione per i clienti che esaminano i propri appliance.

Shadowserver ha contato più di 115.000 firewall Firebox non patchati esposti online a dicembre 2025. Quasi 9.000 restavano non protetti a settembre 2026. La riduzione è sostanziale, ma la popolazione rimanente offre ancora agli operatori ransomware un bacino significativo di potenziali bersagli.

La base di clienti interessati può estendersi oltre le organizzazioni che gestiscono direttamente i prodotti WatchGuard. Il fornitore offre servizi a più di 250.000 piccole e medie imprese tramite oltre 17.000 rivenditori e fornitori di servizi in tutto il mondo.

Un firewall gestito compromesso può quindi creare conseguenze operative e di risposta agli incidenti per clienti, rivenditori e fornitori di sicurezza gestita. CISA non ha comunicato se gli attacchi ransomware confermati abbiano colpito un settore o una regione particolare.

La scadenza federale per la correzione è già passata

CISA ha inserito CVE-2025-14733 nel catalogo KEV il 19 dicembre 2025. In base alla Binding Operational Directive 22-01, le agenzie civili federali statunitensi avevano tempo fino al 26 dicembre 2025 per correggerla.

L'azione richiesta è esplicita: applicare le mitigazioni del fornitore, seguire le indicazioni BOD 22-01 applicabili per i servizi cloud oppure interrompere l'uso del prodotto se le mitigazioni non sono disponibili.

Le altre organizzazioni non sono vincolate dalla scadenza federale, ma la combinazione di inserimento nel KEV, sfruttamento ransomware confermato e percorso di attacco raggiungibile da remoto richiede una gestione urgente.

I difensori dovrebbero:

1. Inventariare le distribuzioni Firebox fisiche, virtuali e basate su cloud.
2. Identificare il modello esatto di appliance e la build Fireware installata.
3. Aggiornare alla versione correttiva appropriata rilasciata da WatchGuard.
4. Esaminare sia le configurazioni VPN IKEv2 correnti sia quelle precedenti.
5. Esaminare gli indicatori di compromissione pubblicati da WatchGuard.
6. Trattare i riscontri sospetti come una possibile violazione, non solo come un problema di patch.
7. Isolare o dismettere gli appliance che non possono essere aggiornati o mitigati.

L'applicazione delle patch chiude la vulnerabilità ma non elimina la persistenza o altre modifiche apportate durante una compromissione precedente. I dispositivi esposti prima dell'aggiornamento richiedono un'analisi forense separata.

CVE-2025-14733 segue altre falle WatchGuard sfruttate

Non è la prima vulnerabilità Firebox recente di WatchGuard a entrare nel catalogo di CISA.

CVE-2025-9242 è un'altra scrittura fuori dai limiti con valutazione 9,8 nel processo iked di Fireware. Consente inoltre l'esecuzione di codice remota non autenticata in condizioni IKEv2 con peer dinamici e statici sostanzialmente simili.

WatchGuard ha corretto CVE-2025-9242 a settembre 2025. CISA l'ha aggiunta al catalogo KEV il 12 novembre 2025 e ha fissato una scadenza federale per la correzione al 3 dicembre 2025. Shadowserver ha successivamente identificato più di 75.000 appliance Firebox vulnerabili.

Un problema precedente, CVE-2022-23176, ha interessato gli appliance Firebox e XTM. A differenza delle due falle iked, richiedeva credenziali senza privilegi e poteva esporre una sessione di gestione privilegiata quando l'accesso di gestione era raggiungibile. CISA l'ha aggiunta al KEV l'11 aprile 2022, con scadenza per la correzione il 2 maggio 2022.

Per CVE-2025-14733, le priorità immediate sono più circoscritte: installare la release Fireware correttiva, verificare l'esposizione IKEv2 storica e indagare per eventuali compromissioni. Il contrassegno ransomware significa che gli appliance vulnerabili non devono più essere trattati come portatori di un rischio solo teorico.