WatchGuard Fireware OS: Fehlende Authentifizierung in FireCluster Sync
Zusammenfassung
Eine fehlende Authentifizierung in der FireCluster-Sync-Verarbeitung von WatchGuard Fireware OS erlaubt einem Angreifer im Cluster-Interconnect, mit einer speziell gestalteten Anfrage privilegierte Firewall-Verwaltungsaktionen als root auszuführen. Der Angreifer muss sich im Cluster-Interconnect befinden, zum Beispiel als kompromittierter Cluster-Peer oder als Angreifer im Netzwerkpfad, daher ist die Gefährdung aus dem Internet nicht die primäre Gefahr. Die Schweregrade variieren zwischen den Quellen (Hersteller: 8.7 High; ein Aggregator: 9.4 Critical), daher ist der Score vor einer Meldung anhand der Herstellerwarnung zu prüfen.
Betroffen
- Fireware OS Standard-Produktlinie: 2025.1 bis vor 2026.4 sowie 12.0 bis vor 12.12.4
- Fireware OS T15/T35: 12.0 bis vor 12.5.22
- Nur Firebox-Appliances, die als Mitglied eines FireCluster konfiguriert sind, sind betroffen.
Behoben in
- Fireware OS 2026.4
- Fireware OS 12.12.4
- Fireware OS 12.5.22 (T15/T35)
Umgehung
- Unbekannt. WatchGuard hat keinen CVE-spezifischen Workaround veröffentlicht. Die Behebung erfolgt durch Patchen.
- Eine Sekundärquelle empfiehlt als allgemeine Massnahme, FireCluster-Verbindungen zu isolieren.
Ausnutzung
- WatchGuard ist keine Ausnutzung dieser Schwachstelle in freier Wildbahn bekannt.
- VulDB: Kein Exploit ist verfügbar.
- OffSeq: Nicht als ausgenutzt bekannt.
- CISA SSVC: Ausnutzung keine, automatisierbar nein, technische Auswirkung total.
Unsere Empfehlung
- Alle Firebox-Appliances identifizieren, die als FireCluster-Mitglieder konfiguriert sind.
- Firmware-Version prüfen und im nächsten Wartungsfenster auf 2026.4, 12.12.4 oder 12.5.22 (T15/T35) aktualisieren.
- Cluster-Sync- und Verwaltungsnetzwerke auf dedizierte, isolierte Segmente beschränken.
- Prüfen, dass die FireCluster-Verwaltungsschnittstelle nicht aus unvertrauenswürdigen Netzwerken erreichbar ist, da die Schwachstelle CVE-2026-93865 aus der Ferne erreichbar ist und in denselben Versionen behoben wird.
- Die Herstellerwarnung auf Aktualisierungen zur Ausnutzung überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WatchGuard PSIRT advisory CVE-2026-90465 psirt.watchguard.com
- VulDB CVE-2026-90465 vuldb.com
- OffSeq threat radar CVE-2026-90465 radar.offseq.com
- Strix CVE-2026-90465 (aggregator) www.strix.ai
- WatchGuard PSIRT companion advisory CVE-2026-93865 psirt.watchguard.com
- SecurityOnline WatchGuard Fireware OS batch overview securityonline.info
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 23:43.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.