WatchGuard Fireware: Kritische Lücke in BOVPN over TLS und weitere Schwachstellen geschlossen

WatchGuard hat am 29. und 30. September 2026 Sicherheitsupdates für Fireware OS veröffentlicht, die insgesamt 15 Schwachstellen in Firebox-Appliances schließen. Die schwerste Lücke trägt die Kennung CVE-2026-86131 und erreicht im Advisory des WatchGuard PSIRT einen CVSS-v4-Wert von 9,2. Sie betrifft den Client für Branch Office VPN (BOVPN) over TLS und kann einem Angreifer, der die Gegenstelle kontrolliert, Root-Rechte auf der verbindenden Firebox verschaffen. Parallel hat der Hersteller drei Lücken in der Firmware seiner Access Points behoben, zwei davon mit CVSS 9,3. Wir fassen zusammen, welche Versionen betroffen sind, welche Updates verfügbar sind und welche Schritte Administratoren jetzt priorisieren sollten.

WatchGuard Fireware Update schließt 15 Sicherheitslücken

Das Update betrifft die gesamte Fireware-Plattform der WatchGuard Firewall Reihe und alle unterstützten Release-Zweige von 12.x über 2025.x bis 2026.3. Neben der kritischen BOVPN-Lücke enthält das Paket drei weitere Schwachstellen mit möglicher Codeausführung und mehrere Denial-of-Service-Lücken in VPN- und Managementdiensten. Viele davon lassen sich ohne vorherige Anmeldung auslösen.

Die wichtigsten Fireware-Lücken vom September 2026

Hinzu kommen vier weitere Lücken mit CVSS 5,3 bis 7,1. Sie betreffen die Management-API wgagent, Diagnoseaufgaben und den Reverse Proxy des Access Portals. Alle Advisories sind im WatchGuard Security Portal einzeln dokumentiert.

CVE-2026-86131 mit CVSS 9,2: Risiko über die BOVPN-Gegenstelle

BOVPN over TLS verbindet Standorte über einen TLS-Tunnel statt über IPsec. Die Variante kommt typischerweise dort zum Einsatz, wo IPsec durch Provider-NAT oder gesperrte Ports nicht zuverlässig funktioniert, und folgt damit dem Prinzip von IPsec vs. SSL VPN auf Standortebene. Eine Firebox übernimmt dabei die Rolle des Servers, die Gegenstelle verbindet sich als Client.

Die Schwachstelle liegt in der Verarbeitung der Client-Konfiguration. Kontrolliert ein Angreifer den entfernten VPN-Server, kann er beliebige Befehle mit Root-Rechten auf der verbindenden Firebox ausführen. Damit erhält er die vollständige Kontrolle über das Gerät, einschließlich Regelwerk, VPN-Schlüssel und Zugriff auf alle angeschlossenen Netze.

WatchGuard führt im Advisory zusätzlich die Schwachstellenklasse CWE-295 (fehlerhafte Zertifikatsprüfung) und das Angriffsmuster Adversary in the Middle auf. Das deutet darauf hin, dass nicht nur eine kompromittierte Gegenstelle relevant ist, sondern auch ein Angreifer, der sich in den Verbindungsaufbau einschalten kann. Der CVSS-Vektor weist außerdem besondere Angriffsvoraussetzungen aus. Betroffen sind also nur Fireboxen, die tatsächlich als BOVPN-over-TLS-Client konfiguriert sind.

Aus unserer Sicht sollten Fireboxen in dieser Client-Rolle beim Update an erster Stelle stehen. Für alle anderen Geräte bleibt das Update dennoch dringend, weil das Paket mehrere Lücken ohne besondere Konfigurationsvoraussetzung schließt.

Weitere Fireware-Lücken: Codeausführung über DHCP, spamd und SAML

CVE-2026-81433 im DHCP-Fingerprinting

Die zweite Lücke mit Codeausführung steckt im Dienst fingerd, der DHCP-Anfragen zur Geräteidentifikation auswertet. Ein Angreifer ohne Anmeldung kann über ein manipuliertes DHCP-Paket einen Stack Buffer Overflow auslösen und Code ausführen oder den Prozess zum Absturz bringen. Voraussetzung ist Zugriff auf ein angrenzendes Netz. Ein kompromittierter Client im Gast-WLAN oder im IoT-Segment kann damit die Firewall selbst angreifen und von dort aus Lateral Movement in andere Netze betreiben. Die Modelle T15 und T35 sind laut Advisory nicht betroffen.

spamd, samld und SAML-Login

CVE-2026-18145 betrifft den Spam-Filterdienst spamd und erlaubt Codeausführung über einen Stack Buffer Overflow. Zwei weitere Lücken betreffen die SAML-Anbindung. CVE-2026-13046 ermöglicht Codeausführung über unsichere Deserialisierung im Dienst samld, CVE-2026-86101 einen unberechtigten Zugriff auf das SSL-VPN über eine Schwäche im SAML-Login. Relevant ist das vor allem für Umgebungen, die Mobile VPN with SSL oder das Access Portal mit SAML-basiertem Single Sign-on betreiben.

Denial of Service in iked und Managementdiensten

CVE-2026-86132 und CVE-2026-86133 betreffen den IKEv2-Dienst iked und lassen sich ohne Anmeldung zum Absturz bringen. CVE-2026-86134 erlaubt ebenfalls einen Denial of Service vor der Authentifizierung. Fällt iked aus, brechen alle IKEv2-basierten VPN-Verbindungen ab. Mit CVE-2026-13224 lassen sich zudem über den Management Agent der Web UI lokale Dateien auslesen.

WatchGuard Access Points: Zwei Lücken mit CVSS 9,3

Bereits am 28. September 2026 hat WatchGuard drei Schwachstellen in der Firmware seiner Access Points veröffentlicht. Betroffen sind alle AP-Versionen vor 3.4.8.

• CVE-2026-101891 (CVSS 9,3) erlaubt durch fehlerhafte Zugriffskontrolle im API-Dienst einen Zugriff ohne Anmeldung.
• CVE-2026-86102 (CVSS 9,3) ermöglicht Command Injection über die interne Management-API.
• CVE-2026-87969 (CVSS 8,6) erlaubt angemeldeten Nutzern Command Injection über die Diagnose-CLI.

In Kombination lässt sich ohne Anmeldung eine gültige API-Sitzung erlangen und Code auf dem Betriebssystem des Access Points ausführen. Ein übernommener Access Point steht mitten im Unternehmensnetz und eignet sich als Ausgangspunkt für weitere Angriffe. Saubere Netzwerksegmentierung mit einem eigenen Management-VLAN für Access Points begrenzt dieses Risiko.

Betroffene Fireware-Versionen und verfügbare Updates

Die Fixed Releases unterscheiden sich je nach Release-Zweig und Modell. Die folgende Übersicht basiert auf den Angaben im WatchGuard Security Portal.

Fireware OS Release-Zweige und Fixed Releases

Wer noch eine Version vor 2026.3.1, 2026.2.2 oder 12.12.2 einsetzt, schließt mit dem Update zusätzlich die iked-Lücken vom August 2026. Darunter befinden sich drei Schwachstellen mit Codeausführung vor der Authentifizierung und CVSS 9,3.

Sofortmaßnahmen für Firebox-Administratoren

• Fireware OS auf das passende Fixed Release und WatchGuard Access Points auf Firmware 3.4.8 aktualisieren, vorher ein aktuelles Konfigurationsbackup sichern.
• Alle BOVPN-over-TLS-Verbindungen inventarisieren und Fireboxen in der Client-Rolle zuerst patchen.
• Nur bekannte, selbst verwaltete Gegenstellen zulassen und deren Zertifikate prüfen.
• Den Zugriff auf Web UI und Management-API ausschließlich aus vertrauenswürdigen Managementnetzen erlauben, nie direkt aus dem Internet.
• Netze mit unverwalteten Geräten wie Gast-WLAN oder IoT priorisiert betrachten, da CVE-2026-81433 aus dem angrenzenden Netz ausnutzbar ist.
• Bei SAML-Anbindung die SSL-VPN- und Access-Portal-Logs auf ungewöhnliche Sitzungen prüfen.
• Systemlogs auf unerwartete Neustarts, Prozessabstürze von iked oder fingerd sowie unbekannte Administrator-Sitzungen kontrollieren.

Firebox-VPN im Visier: Zwei ausgenutzte iked-Lücken seit 2025

Dass schnelles Patchen bei Firebox-Appliances keine Formsache ist, zeigen die vergangenen zwölf Monate. Im September 2025 schloss WatchGuard mit CVE-2025-9242 eine kritische Lücke im iked-Prozess, die CISA wenige Wochen später als aktiv ausgenutzt einstufte. Zu diesem Zeitpunkt zählte die Shadowserver Foundation mehr als 75.000 verwundbare Fireboxen, die meisten davon in Nordamerika und Europa.

Im Dezember 2025 folgte mit CVE-2025-14733 eine nahezu identische Schwachstelle. WatchGuard beobachtete Angriffsversuche bereits zum Zeitpunkt der Veröffentlichung, und CISA nahm die Lücke am 19. Dezember 2025 in den Known Exploited Vulnerabilities Catalog auf. Im September 2026 hat CISA laut BleepingComputer bestätigt, dass auch Ransomware-Gruppen diese Lücke nutzen.

Das Muster betrifft nicht nur WatchGuard. Auch bei Fortinet haben sich exponierte VPN-Dienste wiederholt als Einfallstor erwiesen, wie der Fall FortiBleed zeigt. Aus unserer Sicht sollten Patch-Fenster für VPN- und Perimeterdienste daher in Tagen geplant werden, nicht in Wochen. Für CVE-2026-86131 ist bislang keine Ausnutzung bekannt. Angreifer analysieren veröffentlichte Patches jedoch gezielt, um daraus Exploits abzuleiten.

Fazit: Fireboxen und Access Points zeitnah patchen

Das September-Update für Fireware OS schließt 15 Schwachstellen, darunter die kritische BOVPN-Lücke CVE-2026-86131 und eine Codeausführung über DHCP. Eine aktive Ausnutzung ist für CVE-2026-86131 bislang nicht bekannt. Die Erfahrungen mit CVE-2025-9242 und CVE-2025-14733 zeigen jedoch, wie schnell Firebox-Lücken in reale Angriffe übergehen. Administratoren sollten Fireboxen und Access Points deshalb zeitnah aktualisieren und die Erreichbarkeit der Managementdienste prüfen.

Ob Ihre Firewall und Ihre VPN-Dienste von außen angreifbar sind, zeigt eine externe Schwachstellenanalyse herstellerunabhängig. Wer nach wiederholten Sicherheitsvorfällen über einen Plattformwechsel nachdenkt, findet in unserem Firewall-Vergleich eine herstellerübergreifende Übersicht.

Beratung anfragen →