WatchGuard Firebox 曝多个漏洞，其中包含一个严重的未经身份验证远程代码执行（RCE）漏洞

sec随谈
sec随谈

sec随谈

2026年7月3日 10:54
北京

在小说阅读器读本章

去阅读

摘要

WatchGuard 已在其 Fireware OS 中修复了七个 WatchGuard Firebox 漏洞。其中最严重的 CVE-2026-13368（CVSS 9.2）可让远程的未经身份验证攻击者在受影响的设备上运行代码。WatchGuard 报告称尚无野外利用行为，也不存在公开的概念验证（PoC）代码。

为何值得关注

Firebox 设备为众多中小型企业守护着网络边缘。因此，此类设备上的预认证（pre-auth）漏洞会使整个网络边界面临暴露。这个严重漏洞无需任何凭据，因此任何暴露在外的 VPN 端点都会成为攻击目标。其余六个漏洞同样值得迅速处理，因为它们可导致代码执行或文件篡改。防火墙是首要攻击目标，因为一个立足点就可能暴露整个内部网络。攻击者还青睐这类设备用于维持持久化访问，因为管理员很少会重建它们。

攻击如何运作

严重：未经身份验证的代码执行

CVE-2026-13368 是一个竞态条件（race condition）漏洞，会导致 iked 进程中出现释放后使用（use-after-free）。它影响使用外部 LDAP 认证服务器的 IKEv2 移动 VPN（Mobile VPN with IKEv2）。攻击者可远程触发该漏洞，随后在该进程的上下文中运行代码。

高危：需身份验证的漏洞

另外六个 Firebox 漏洞需要一个已通过身份验证的特权用户。其中三个是位于 ikestubd（CVE-2026-13383）、wgagent（CVE-2026-13384）和 networkd（CVE-2026-13050）进程中的越界写入（out-of-bounds write）漏洞。每一个都可通过向管理 Web 界面（Management Web UI）发送精心构造的请求来实现代码执行。一个路径遍历（path traversal）漏洞（CVE-2026-13054）允许任意文件写入。与此同时，一个固件验证绕过（firmware validation bypass）漏洞（CVE-2026-13722）可让管理员安装被篡改的固件。最后，一个 SSL VPN Windows 客户端漏洞（CVE-2026-13079）可将本地用户提权至 SYSTEM。

受影响的版本

大多数漏洞影响 Fireware OS 11.0 至 11.12.4\_Update1、12.0 至 12.12、12.5 至 12.5.18，以及 2025.1 至 2026.2 版本。具体的影响范围因公告而异。11.x 分支已停止支持（EOL），因此不会获得修补。

补丁与缓解措施

请将 Fireware OS 更新至 2026.2.1，或将 12.x 分支更新至 12.12.1。Windows 版的 SSL 移动 VPN（Mobile VPN with SSL）客户端应升级至 2026.2.1 版本。请注意，T15 和 T35 型号上的 12.5.x 版本仍未得到修复，因此这些用户需格外留意。请逐一查阅 WatchGuard PSIRT 官方公告页面上的各条目。请优先处理那个严重的 IKEv2 漏洞，因为它无需登录便直接面向互联网。管理员还应将管理 Web 界面的访问限制在受信任的网络范围内。这些 WatchGuard Firebox 漏洞目前尚无确认的攻击行为，但其\"严重\"评级几乎没有留下可以等待的余地。

参考链接：

https://www.watchguard.com/wgrd-psirt/advisories