A CISA atualizou em 9 de setembro de 2026 o registro da CVE-2025-14733 em seu catálogo de vulnerabilidades exploradas conhecidas (KEV) para marcar que a falha passou a ser usada por grupos de ransomware. A vulnerabilidade afeta firewalls WatchGuard Firebox e já estava no catálogo desde 19 de dezembro de 2025, quando a agência deu às agências federais americanas uma semana para corrigi-la.
O que mudou não foi a gravidade técnica, e sim quem está explorando. O campo do KEV que indica uso conhecido em campanhas de ransomware saiu de “desconhecido” para “conhecido”. A CISA não divulgou quais grupos, quantas vítimas ou desde quando — apenas registrou a mudança de status.
A distância entre a correção e este anúncio é o dado mais incômodo da história: nove meses depois do patch, o grupo Shadowserver ainda encontrava cerca de 9 mil aparelhos Firebox expostos e sem atualização, segundo levantamento relatado pelo BleepingComputer. Em dezembro de 2025, quando a falha foi divulgada, eram mais de 115 mil.
A CVE-2025-14733 é uma escrita fora dos limites de memória (CWE-787) no processo iked do Fireware OS, responsável por negociar túneis IPSec. A exploração pode ser feita remotamente, sem autenticação e sem interação do usuário, o que permite execução de código arbitrário no appliance.
A WatchGuard, que atua como CNA da própria CVE, atribuiu nota CVSS 4.0 de 9,3 (crítica), com vetor CVSS:4.0/AV:N/AC:L/AT:N/PR:N/UI:N/VC:H/VI:H/VA:H. Vale registrar que, até a consulta feita para esta matéria, o NVD ainda não havia publicado avaliação própria: a nota disponível é a do fabricante. A falha foi descoberta internamente pela própria WatchGuard.
Este é o ponto em que a leitura apressada do aviso leva ao erro. Segundo o texto oficial da WatchGuard, são vulneráveis duas configurações:
Há, porém, uma condição residual que costuma passar despercebida. Se o Firebox já esteve configurado com uma dessas duas opções e ambas foram removidas desde então, o aparelho pode continuar vulnerável caso ainda exista uma VPN entre escritórios apontando para um peer de gateway estático. Em outras palavras, apagar a configuração problemática não é, por si só, uma mitigação.
As versões afetadas e as versões com correção são estas:
| Linha do Fireware OS | Afetadas | Corrigidas a partir de |
|---|---|---|
| Padrão | 2025.1 até antes de 2025.1.4; 12.0 até antes de 12.11.6; 11.10.2 até 11.12.4+541730 | 2025.1.4, 12.11.6, 11.12.4+541730 |
| T15 / T35 | 12.0 até antes de 12.5.15 | 12.5.15 |
| FIPS | 12.0 até antes de 12.3.1+728352 | 12.3.1-b728352 |
A WatchGuard descreve duas variantes de atividade pós-exploração observadas contra aparelhos expostos, e ambas têm o mesmo objetivo: levar embora a configuração do equipamento.
Na primeira, o invasor criptografa e exfiltra o arquivo de configuração ativa do Firebox para o mesmo endereço IP de onde partiu o ataque. Na segunda, monta um arquivo gzip contendo a configuração ativa e a base local de usuários de gerenciamento, e exfiltra o pacote para o mesmo IP de origem.
A consequência prática é direta e explica o interesse de grupos de ransomware: quem obtém a configuração de um firewall de borda obtém o mapa da rede interna, as regras de acesso e, no segundo caso, também as contas administrativas do aparelho. Por isso o fabricante insiste que, em qualquer suspeita de exploração bem-sucedida, não basta atualizar — é preciso rotacionar todos os segredos armazenados localmente no Firebox.
A WatchGuard divulgou indicadores de ataque aplicáveis a aparelhos que ainda não receberam a correção. São úteis para caça retroativa em registros:
iked no nível padrão de erro, o aparelho registra a rejeição de cadeias com mais de 8 certificados. A WatchGuard classifica isso como indicador médio.IKE_AUTH cujo campo CERT ultrapasse 2.000 bytes é considerada indicador forte.iked trava, interrompendo negociações e renovações de túnel, embora túneis já estabelecidos possam continuar passando tráfego. Indicador forte.Esta não é a primeira vez. Em setembro de 2025 a WatchGuard corrigiu a CVE-2025-9242, descrita pela CISA como uma escrita fora dos limites no mesmo processo iked e adicionada ao KEV em 12 de novembro de 2025. E em 2022 a agência já havia ordenado a correção da CVE-2022-23176, de escalonamento de privilégios em Firebox e XTM.
A recorrência no mesmo componente sugere que a superfície de negociação IKEv2 do Fireware merece atenção estrutural de quem opera esses equipamentos, e não apenas correção pontual a cada aviso. O caso também se soma a uma sequência de falhas críticas em appliances de borda que o Plugged Ninja vem acompanhando, como as falhas exploradas no SonicWall SMA1000 e a CVE-2026-8037 no Kemp LoadMaster.
O perfil de cliente da WatchGuard amplifica o problema. A empresa informa atender mais de 250 mil companhias de pequeno e médio porte por meio de uma rede de mais de 17 mil revendas e provedores de serviço, conforme relatado pelo BleepingComputer. É exatamente o segmento com menor capacidade de manter uma janela curta de correção — e, no Brasil, é o segmento que costuma delegar a operação do firewall ao provedor terceirizado, o que dilui a responsabilidade pela atualização.
É preciso separar o que está confirmado do que não está. Está confirmado: a falha existe, tem correção desde dezembro de 2025, foi explorada em campo segundo o próprio fabricante e agora consta do KEV como usada por ransomware. Não está confirmado: quais famílias de ransomware, qual o volume de vítimas, se há vítimas no Brasil e se a exploração atual usa o mesmo caminho descrito nas duas variantes de pós-exploração de dezembro. Os números de exposição do Shadowserver são estimativas de varredura da internet e não distinguem aparelhos vulneráveis por configuração daqueles apenas identificáveis pela versão.
Há um aspecto favorável a registrar: a superfície depende de configuração. Um Firebox sem VPN IKEv2 de usuário móvel e sem VPN entre escritórios com peer dinâmico — e que nunca as teve — não está exposto por esta CVE. Isso permite priorizar o inventário em vez de tratar todo o parque como emergência.
iked.A CVE-2025-14733 é um caso de manual sobre o que acontece quando uma correção existe e não é aplicada: nove meses depois, a falha muda de mãos e passa do reconhecimento oportunista para operações de extorsão. A mudança de status no KEV não é um alerta novo — é a confirmação de que a janela de tolerância acabou.
O que acompanhar a partir daqui é a eventual atribuição de famílias de ransomware específicas pela CISA ou por pesquisadores independentes, e a curva de exposição medida pelo Shadowserver nas próximas semanas, que dirá se o novo status foi suficiente para mover os administradores que o aviso de dezembro não moveu.
Preprint no arXiv constrói uma rede de quatro camadas e simula como o comprometimento de…
Modelo multimodal de mistura de especialistas chega com licença MIT, contexto de 1 milhão de…
A Microsoft detalhou uma cadeia de intrusão ativa desde maio de 2026 em que o…
Janelia, Cambridge, o MRC LMB e o Google Research publicaram na Cell o sistema nervoso…
A Alibaba liberou sob licença Apache 2.0 um modelo de visão e linguagem voltado a…
A Unit 42 analisou duas campanhas ativas na América Latina em que os operadores usaram…