WatchGuard Fireware OS: Fehlende Authentifizierung im FireCluster-Sync-Daemon
Zusammenfassung
Eine fehlende Authentifizierung im FireCluster-Synchronisationsdienst von Fireware OS, dem Betriebssystem der WatchGuard-Firebox-Firewalls, erlaubt einem entfernten, nicht authentifizierten Angreifer, privilegierte administrative Aktionen auf Systemebene auszulösen. Dafür genügt es, eine speziell gestaltete Anfrage an die FireCluster-Management-IP zu senden. Die Schwachstelle betrifft nur Firebox-Geräte, die als Mitglied eines FireClusters konfiguriert sind; Einzelgeräte sind laut Herstellerangaben nicht betroffen.
Betroffen
- Fireware OS 2025.1 bis vor 2026.4 (Standardkonfiguration)
- Fireware OS 12.0 bis vor 12.12.4 (Standardkonfiguration)
- T15/T35: Fireware OS 12.0 bis vor 12.5.22
- Nur Firebox-Geräte, die als FireCluster-Mitglied konfiguriert sind
Behoben in
- Fireware OS 2026.4
- Fireware OS 12.12.4
- Fireware OS 12.5.22 (T15/T35)
Umgehung
Unbekannt.
- Keine vom Hersteller dokumentierte Workaround-Massnahme identifiziert.
- Übergangsmassnahme (nicht vom Hersteller bestätigt): Netzwerkzugriff auf die FireCluster-Management-IP und das Cluster-Synchronisationsnetz auf bekannte Administrator- und Cluster-Peer-Hosts beschränken und nicht dem Internet aussetzen.
Ausnutzung
- WatchGuard ist keine Ausnutzung dieser Schwachstelle in freier Wildbahn bekannt.
- Zum Zeitpunkt der Recherche ist kein öffentlicher Exploit-Code und kein Proof-of-Concept bestätigt.
- Laut Sekundärquellen ist die Schwachstelle nicht im CISA-KEV-Katalog; CISA wurde nicht direkt geprüft.
- CISA SSVC: Ausnutzung keine, automatisierbar ja, technische Auswirkung total.
Unsere Empfehlung
- Alle Firebox-Geräte im FireCluster-Betrieb und deren Fireware-OS-Versionen erfassen.
- Auf 2026.4, 12.12.4 oder 12.5.22 (T15/T35) aktualisieren, je nach Modell und Release-Linie.
- Bis zur Aktualisierung sicherstellen, dass die Cluster-Management- und Synchronisationsschnittstellen nicht aus dem Internet oder aus nicht vertrauenswürdigen Netzen erreichbar sind.
- Herstellerhinweis, NVD und CISA KEV auf Änderungen überwachen.
Öffentliche Exploits
In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.
Quellen der Recherche
- WatchGuard PSIRT advisory CVE-2026-93865 psirt.watchguard.com
- OffSeq threat radar CVE-2026-93865 radar.offseq.com
- Strix CVE-2026-93865 www.strix.ai
- SecurityOnline: WatchGuard Fireware OS vulnerabilities securityonline.info
- Cybersecurity News: WatchGuard discloses critical firewall flaws cybersecuritynews.com
Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 31.10.2026 03:58.
Referenzen der NVD (1)
Quellen
Der Tracker verbindet offizielle, frei nutzbare Datenquellen – laufend aktualisiert:
- NVD (NIST) – CVE, Bewertung (CVSS), betroffene Produkte
- CISA KEV – von der CISA bestätigt aktiv ausgenutzte Lücken
- CISA Vulnrichment – Einschätzung der CISA (SSVC) im offiziellen CVE-Eintrag
- FIRST EPSS – Wahrscheinlichkeit einer Ausnutzung
- Microsoft MSRC – Patch Tuesday: Lücken, Schweregrad, Updates
- PoC-in-GitHub – öffentliche Proof-of-Concept-Repositories
- Metasploit (Rapid7) – Module des Metasploit Framework
- Exploit-DB (OffSec) – Archiv öffentlicher Exploits (nur Verweise)
- Patch-Tage: offizielle Seiten der Hersteller (je Hersteller verlinkt) (Patch-Tage der Hersteller)
Dieses Angebot nutzt Daten der NVD-API, ist aber von der NVD weder unterstützt noch zertifiziert. EPSS-Daten © FIRST.org.
Betroffen? Wir helfen.
Wir prüfen, ob Ihre Systeme betroffen sind, spielen Updates ein und schliessen die Lücke – auf Wunsch auch laufend mit dem System Health Checker.