WatchGuard Firebox: falha crítica agora é usada em ransomware

A CISA atualizou em 9 de setembro de 2026 o registro da CVE-2025-14733 em seu catálogo de vulnerabilidades exploradas conhecidas (KEV) para marcar que a falha passou a ser usada por grupos de ransomware. A vulnerabilidade afeta firewalls WatchGuard Firebox e já estava no catálogo desde 19 de dezembro de 2025, quando a agência deu às agências federais americanas uma semana para corrigi-la.

O que mudou não foi a gravidade técnica, e sim quem está explorando. O campo do KEV que indica uso conhecido em campanhas de ransomware saiu de “desconhecido” para “conhecido”. A CISA não divulgou quais grupos, quantas vítimas ou desde quando — apenas registrou a mudança de status.

A distância entre a correção e este anúncio é o dado mais incômodo da história: nove meses depois do patch, o grupo Shadowserver ainda encontrava cerca de 9 mil aparelhos Firebox expostos e sem atualização, segundo levantamento relatado pelo BleepingComputer. Em dezembro de 2025, quando a falha foi divulgada, eram mais de 115 mil.

O que é a falha

A CVE-2025-14733 é uma escrita fora dos limites de memória (CWE-787) no processo iked do Fireware OS, responsável por negociar túneis IPSec. A exploração pode ser feita remotamente, sem autenticação e sem interação do usuário, o que permite execução de código arbitrário no appliance.

A WatchGuard, que atua como CNA da própria CVE, atribuiu nota CVSS 4.0 de 9,3 (crítica), com vetor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H. Vale registrar que, até a consulta feita para esta matéria, o NVD ainda não havia publicado avaliação própria: a nota disponível é a do fabricante. A falha foi descoberta internamente pela própria WatchGuard.

Quais configurações estão expostas

Este é o ponto em que a leitura apressada do aviso leva ao erro. Segundo o texto oficial da WatchGuard, são vulneráveis duas configurações:

• VPN de usuário móvel com IKEv2; e
• VPN entre escritórios (branch office VPN) com IKEv2 configurada com um peer de gateway dinâmico.

Há, porém, uma condição residual que costuma passar despercebida. Se o Firebox já esteve configurado com uma dessas duas opções e ambas foram removidas desde então, o aparelho pode continuar vulnerável caso ainda exista uma VPN entre escritórios apontando para um peer de gateway estático. Em outras palavras, apagar a configuração problemática não é, por si só, uma mitigação.

As versões afetadas e as versões com correção são estas:

O que os atacantes fazem depois de entrar

A WatchGuard descreve duas variantes de atividade pós-exploração observadas contra aparelhos expostos, e ambas têm o mesmo objetivo: levar embora a configuração do equipamento.

Na primeira, o invasor criptografa e exfiltra o arquivo de configuração ativa do Firebox para o mesmo endereço IP de onde partiu o ataque. Na segunda, monta um arquivo gzip contendo a configuração ativa e a base local de usuários de gerenciamento, e exfiltra o pacote para o mesmo IP de origem.

A consequência prática é direta e explica o interesse de grupos de ransomware: quem obtém a configuração de um firewall de borda obtém o mapa da rede interna, as regras de acesso e, no segundo caso, também as contas administrativas do aparelho. Por isso o fabricante insiste que, em qualquer suspeita de exploração bem-sucedida, não basta atualizar — é preciso rotacionar todos os segredos armazenados localmente no Firebox.

Indicadores de ataque publicados

A WatchGuard divulgou indicadores de ataque aplicáveis a aparelhos que ainda não receberam a correção. São úteis para caça retroativa em registros:

• Endereços IP associados à atividade conhecida: 45.95.19[.]50, 51.15.17[.]89, 172.93.107[.]67, 199.247.7[.]82, 38.252.8[.]14 e 94.249.197[.]106. Conexões de saída para esses endereços são um indicador forte de comprometimento; conexões de entrada podem indicar reconhecimento ou tentativa.
• Cadeia de certificados longa demais — com o log de diagnóstico do iked no nível padrão de erro, o aparelho registra a rejeição de cadeias com mais de 8 certificados. A WatchGuard classifica isso como indicador médio.
• Payload CERT anormalmente grande — com o log em nível informativo, uma requisição IKE_AUTH cujo campo CERT ultrapasse 2.000 bytes é considerada indicador forte.
• Travamento do processo IKE — durante uma exploração bem-sucedida o iked trava, interrompendo negociações e renovações de túnel, embora túneis já estabelecidos possam continuar passando tráfego. Indicador forte.
• Queda do processo IKE com geração de relatório de falha, após tentativa bem ou malsucedida. A própria WatchGuard classifica este como indicador fraco, porque outras situações causam o mesmo efeito.

Um padrão que se repete no mesmo produto

Esta não é a primeira vez. Em setembro de 2025 a WatchGuard corrigiu a CVE-2025-9242, descrita pela CISA como uma escrita fora dos limites no mesmo processo iked e adicionada ao KEV em 12 de novembro de 2025. E em 2022 a agência já havia ordenado a correção da CVE-2022-23176, de escalonamento de privilégios em Firebox e XTM.

A recorrência no mesmo componente sugere que a superfície de negociação IKEv2 do Fireware merece atenção estrutural de quem opera esses equipamentos, e não apenas correção pontual a cada aviso. O caso também se soma a uma sequência de falhas críticas em appliances de borda que o Plugged Ninja vem acompanhando, como as falhas exploradas no SonicWall SMA1000 e a CVE-2026-8037 no Kemp LoadMaster.

Impacto, limitações e o que ainda não se sabe

O perfil de cliente da WatchGuard amplifica o problema. A empresa informa atender mais de 250 mil companhias de pequeno e médio porte por meio de uma rede de mais de 17 mil revendas e provedores de serviço, conforme relatado pelo BleepingComputer. É exatamente o segmento com menor capacidade de manter uma janela curta de correção — e, no Brasil, é o segmento que costuma delegar a operação do firewall ao provedor terceirizado, o que dilui a responsabilidade pela atualização.

É preciso separar o que está confirmado do que não está. Está confirmado: a falha existe, tem correção desde dezembro de 2025, foi explorada em campo segundo o próprio fabricante e agora consta do KEV como usada por ransomware. Não está confirmado: quais famílias de ransomware, qual o volume de vítimas, se há vítimas no Brasil e se a exploração atual usa o mesmo caminho descrito nas duas variantes de pós-exploração de dezembro. Os números de exposição do Shadowserver são estimativas de varredura da internet e não distinguem aparelhos vulneráveis por configuração daqueles apenas identificáveis pela versão.

Há um aspecto favorável a registrar: a superfície depende de configuração. Um Firebox sem VPN IKEv2 de usuário móvel e sem VPN entre escritórios com peer dinâmico — e que nunca as teve — não está exposto por esta CVE. Isso permite priorizar o inventário em vez de tratar todo o parque como emergência.

Recomendações

• Atualizar imediatamente para Fireware OS 2025.1.4, 12.11.6, 12.5.15 ou 12.3.1-b728352, conforme a linha do aparelho.
• Levantar no inventário quais Firebox têm ou já tiveram VPN de usuário móvel com IKEv2 ou VPN entre escritórios com peer dinâmico — inclusive os que tiveram a configuração removida e mantêm túnel para peer estático.
• Se a atualização não puder ser imediata e o aparelho só tiver túneis para peers estáticos, aplicar a recomendação de acesso seguro a VPNs entre escritórios com IPSec e IKEv2 publicada pela WatchGuard como contorno temporário.
• Caçar retroativamente nos registros os indicadores publicados: conexões com os IPs listados, rejeição de cadeia de certificados acima de 8, payload CERT acima de 2.000 bytes e travamentos do processo iked.
• Em caso de suspeita de comprometimento, rotacionar todos os segredos armazenados no Firebox conforme o procedimento de boas práticas do fabricante, e não apenas atualizar o firmware.
• Reduzir a exposição da interface de gerenciamento e das negociações IKE à internet ao mínimo necessário.
• Cobrar do provedor de serviço gerenciado, por escrito, a confirmação da versão instalada e da data de aplicação do patch.

Conclusão

A CVE-2025-14733 é um caso de manual sobre o que acontece quando uma correção existe e não é aplicada: nove meses depois, a falha muda de mãos e passa do reconhecimento oportunista para operações de extorsão. A mudança de status no KEV não é um alerta novo — é a confirmação de que a janela de tolerância acabou.

O que acompanhar a partir daqui é a eventual atribuição de famílias de ransomware específicas pela CISA ou por pesquisadores independentes, e a curva de exposição medida pelo Shadowserver nas próximas semanas, que dirá se o novo status foi suficiente para mover os administradores que o aviso de dezembro não moveu.

Fontes e referências

• WatchGuard PSIRT — CVE-2025-14733: WatchGuard Firebox iked Out of Bounds Write Vulnerability (publicado em 19 de dezembro de 2025, atualizado em 10 de agosto de 2026)
• CISA — Known Exploited Vulnerabilities Catalog (registro consultado na versão divulgada em 9 de setembro de 2026)
• NVD / NIST — CVE-2025-14733 Detail
• BleepingComputer, por Sergiu Gatlan — CISA: WatchGuard RCE flaw now exploited in ransomware attacks (10 de setembro de 2026)
• Plugged Ninja — SonicWall SMA1000 sob ataque: falha de nota 10 no CVSS
• Plugged Ninja — CVE-2026-8037: falha crítica no Kemp LoadMaster entra no KEV da CISA