WatchGuard Fireboxに脆弱性17件、CVSS 9.5

やること

Firebox は WatchGuard のファイアウォール機器です。動かしている OS の Fireware OS を修正版へ更新してください。

• 2025.1 以降の機器は 2026.4 です
• 12系の機器は 12.12.4 です
• T15 と T35 は 12.5.22 です

読み取った個別ページに、回避策の記載はありません。WatchGuard が示す解決策は更新です。すぐに更新できない機器については、次の「使っている機能で見る危険」で、自社が該当するかを先に確かめてください。

何が危ないのか

WatchGuard は10月27日に Fireware OS の脆弱性17件と、Windows 向け VPN ソフト（Mobile VPN with SSL）の脆弱性1件を公表しました。一覧では18件が同じ日付で並びます。ここでは CVSS が 9 以上の主な項目を説明します。

次の3件はログインなしで狙えます。どれも CVSS（v4.0）は 9.2 で、その機能を有効にしている機器が対象です。

• CVE-2026-93857：SIP プロキシの欠陥です。SIP プロキシを使うポリシーを通じて、細工した要求でコードを実行されるおそれがあります
• CVE-2026-93866：Access Portal の欠陥です。WebSocket 接続の処理で整数があふれ、メモリの範囲の外へ書き込まれます
• CVE-2026-93865：FireCluster（機器の冗長構成）の同期処理に認証がありません。クラスタを組んだ機器の管理 IP へ要求を送るだけで、管理者権限の操作を実行されるおそれがあります

CVE-2026-112709 と CVE-2026-112710 は Active Directory 認証の欠陥で、CVSS は 9.2 です。Active Directory（社内の利用者を管理する仕組み）の認証サーバーを設定した機器が対象で、AD サーバーとの通信を操作または傍受できる攻撃者が、細工した応答を返してコードを実行するおそれがあります。外から直接ではなく、通信の途中に入られることが条件です。

最も高い CVSS 9.5 の CVE-2026-103594 は、FireCloud Gateway として動かす機器が対象です。Firebox と WatchGuard Cloud の間の TLS 通信を復号できる位置にいる攻撃者が、設定のデータを改ざんすると、WireGuard の設定処理でコードを実行されるおそれがあります。

ほかにも、ロギングサービスの CVE-2026-103593（CVSS 9.1）や、管理インターフェースの CVE-2026-111107（CVSS 8.7）が同じ日に公表されています。

WatchGuard は、確認できた項目のいずれについても悪用は把握していないとしています。

使っている機能で見る危険

同じ機器でも、どの機能を有効にしているかで危険の大きさが変わります。

• SIP プロキシのポリシーを作っていなければ、CVE-2026-93857 の条件に当たりません
• Access Portal を有効にしていなければ、CVE-2026-93866 の条件に当たりません
• FireCluster を組んでいない単独運用の機器は、CVE-2026-93865 の条件に当たりません
• AD 認証を設定していなければ、CVE-2026-112709 と CVE-2026-112710 の条件に当たりません
• FireCloud Gateway として使っていなければ、CVE-2026-103594 の条件に当たりません

ただし、条件に当たらないことは更新しなくてよい理由にはなりません。ほかの項目には、認証済みの利用者が root 権限でファイルを書き換えられるもの（CVE-2026-90464、CVSS 7.2）なども含まれます。

対象

上の表のバージョンが対象です。CVE-2026-103594 だけは、対象が 2026.2 以上 2026.4 未満と 12.12 以上 12.12.4 未満で、ほかより狭くなっています。Windows 向けの Mobile VPN with SSL の CVE-2026-115495 は、ローカルの管理用ソケットで VPN の認証情報が平文で送られるという内容で、CVSS は 5.7 です。11月4日には AuthPoint Gateway の脆弱性（CVE-2026-121639、CVSS 9.2）も公表されました。LDAP または Active Directory を設定した Gateway に、ネットワークから届く未認証の攻撃者が認証サービスを妨害し、ディレクトリ同期の設定を削除できるおそれがあります。修正は 7.6.0 です。