Múltiples vulnerabilidades en Fireware OS de WatchGuard

Fecha de publicación 28/10/2026

Identificador

INCIBE-2026-798

Importancia

5 - Crítica

Recursos Afectados

Fireware OS en dispositivos Firebox:

Versiones desde 2025.1 y anteriores a 2026.4.
Versiones desde 12.0 y anteriores a 12.12.4.
Para los modelos T15 y T35: versiones desde 12.0 y anteriores a 12.5.22.

CVE-2026-103594 afecta específicamente a las versiones desde 2026.2 y anteriores a 2026.4, y desde 12.12 y anteriores a 12.12.4, en equipos configurados como FireCloud Gateway.

Descripción

El equipo WatchGuard AI Security Research y Laurent Gaffie, de secorizon.com, han informado sobre 7 vulnerabilidades en Fireware OS, 6 de severidad crítica y 1 alta. Su explotación podría permitir ejecutar código arbitrario, realizar acciones administrativas sin autenticación, corromper memoria o provocar una denegación de servicio, según la configuración del equipo.

Solución

Actualizar Fireware OS a la versión correspondiente:

2026.4 para la línea 2025/2026.
12.12.4 para la línea 12.x.
12.5.22 para los modelos T15 y T35.

Las correcciones se detallan en los boletines del fabricante.

Detalle

CVE-2026-103594: un desbordamiento de búfer en la pila al procesar la configuración de WireGuard podría permitir provocar una denegación de servicio o ejecutar código. Requiere actuar como intermediario con acceso al tráfico TLS descifrado entre Firebox y WatchGuard Cloud, y modificar la configuración de FireCloud Gateway.
CVE-2026-112710: un desbordamiento de búfer en el montículo del servicio de autenticación podría permitir denegación de servicio o ejecución de código. El atacante debe controlar o interceptar las comunicaciones con el servidor Active Directory configurado y devolver una respuesta manipulada.
CVE-2026-112709: otro desbordamiento de búfer en el montículo del servicio de autenticación podría permitir denegación de servicio o ejecución de código mediante respuestas manipuladas del servidor Active Directory. Requiere controlar dicho servidor o interceptar sus comunicaciones.
CVE-2026-93865: la ausencia de autenticación en el servicio de sincronización de FireCluster permite a un atacante remoto invocar acciones administrativas privilegiadas mediante peticiones dirigidas a la IP de gestión del clúster. Requiere FireCluster habilitado.
CVE-2026-93857: un desbordamiento de búfer en la pila del proxy SIP permite a un atacante remoto sin autenticación ejecutar código mediante una petición manipulada que atraviese una política que utilice dicho proxy.
CVE-2026-93866: un desbordamiento de enteros al gestionar conexiones WebSocket de Access Portal permite a un atacante remoto sin autenticación escribir fuera de los límites de un búfer del montículo. Requiere Access Portal habilitado.

CVE

Identificador CVE	Severidad	Explotación	Fabricante
CVE-2026-103594	Crítica	No	WATCHGUARD
CVE-2026-112710	Crítica	No	WATCHGUARD
CVE-2026-112709	Crítica	No	WATCHGUARD
CVE-2026-93865	Crítica	No	WATCHGUARD
CVE-2026-93857	Crítica	No	WATCHGUARD
CVE-2026-93866	Crítica	No	WATCHGUARD
CVE-2026-103593	Alta	No	WATCHGUARD