WatchGuard y Fireware OS quedaron en el centro de una alerta incómoda: el sistema que protege la puerta de la red trae siete fallos críticos. WatchGuard publicó el 27 de octubre una tanda de 18 avisos para Fireware OS, el sistema de sus equipos Firebox, y siete fallos marcan entre 9.1 y 9.5 en la escala CVSS 4.0. Las correcciones ya existen: Fireware OS 2026.4, 12.12.4 y, para los modelos T15 y T35, la versión 12.5.22.
Un cortafuegos vulnerable no es un programa más con un error. Es el equipo que decide qué tráfico entra y qué tráfico se queda fuera en oficinas y tiendas. Si ese equipo cae, el atacante no fuerza una ventana: entra por la puerta principal, con los permisos del propio guardián.
Siete fallos críticos, varios antes de iniciar sesión
El aviso oficial de WatchGuard, publicado en su portal PSIRT, coloca en lo más alto el CVE-2026-103594, con nota 9.5. El fallo es un desbordamiento de memoria en el tratamiento de la configuración de WireGuard y puede abrir paso a la ejecución remota de código. Tiene una condición concreta: el atacante necesita posición intermedia con acceso descifrado entre el Firebox y la nube de WatchGuard.
Dos fallos gemelos preocupan por otro motivo. El CVE-2026-112709 y el CVE-2026-112710, ambos con 9.2, afectan al servicio de autenticación con Active Directory y permiten ejecutar código antes de que el usuario inicie sesión. Cybersecuritynews, que repasó la tanda, detalla que esos errores también piden control del tráfico hacia el servidor de directorio.
El CVE-2026-93857 marca 9.2 en el proxy SIP, la pieza que ordena las llamadas de voz sobre la red. Otro 9.2, el CVE-2026-93865, deja sin autenticación el servicio de sincronización de FireCluster, el esquema que agrupa dos equipos como uno solo, y permite inyectar acciones con privilegios de raíz cuando el agrupamiento está activo. El CVE-2026-93866 suma un 9.2 con un desbordamiento numérico en Access Portal que escribe fuera de la memoria permitida, solo si ese portal está encendido. Cierra la lista el CVE-2026-103593, con 9.1, en el servicio de registro.
Ese patrón se repite en los equipos perimetrales de varias marcas: hace pocos días, una falla en equipos de Palo Alto dejó entrar al ransomware Qilin sin clave. Los servicios que escuchan hacia fuera concentran el riesgo, porque reciben datos de desconocidos antes de pedir cualquier credencial.
El resto de la tanda también pide atención
La cuenta completa llega a 18 avisos: siete críticos, siete altos y cuatro medios, de acuerdo con el resumen que publicó SecurityOnline. En el grupo alto aparece el CVE-2026-93434, con 8.7, una inyección XPath en el acceso por SSH que extrae secretos de configuración a ciegas. Otro 8.7, el CVE-2026-111107, expone la interfaz de gestión a una denegación de servicio sin autenticación: no roba datos, pero puede tumbar la administración del equipo.
Hay fallos con requisitos más duros que igual merecen parche. El CVE-2026-90464 permite a un atacante ya autenticado modificar archivos como raíz por falta de validación de comandos. El cliente Mobile VPN with SSL para Windows suma el CVE-2026-115495, con credenciales transmitidas en texto claro por un canal local, corregido en la versión 2026.4 del cliente.
El origen de los hallazgos dice bastante del momento que vive el sector. SecurityOnline contó que el equipo de investigación de seguridad con inteligencia artificial de WatchGuard descubrió 13 de los 18 fallos, y que investigadores de CODE WHITE y de secorizon.com reportaron varios de los restantes. La empresa revisó su código con herramientas nuevas y encontró una fila de errores de memoria dormidos en servicios encendidos en miles de oficinas.
Conviene separar esta tanda de historias viejas. Cybersecuritynews advirtió que el fallo explotado en ataques reales que muchos recuerdan, el CVE-2025-14733, pertenece a otra publicación y no prueba ataques contra estos 18 errores. Para esta tanda, WatchGuard no reporta explotación conocida y ningún fallo aparece en el catálogo de vulnerabilidades explotadas de la Agencia de Ciberseguridad y Seguridad de Infraestructuras de Estados Unidos (CISA).
Versiones corregidas de Fireware OS y revisión previa
WatchGuard fijó el corte con claridad en su portal: la rama reciente queda corregida en Fireware OS 2026.4, la rama 12.12 se cierra en 12.12.4 y los equipos T15 y T35 de la rama 12.5 se quedan en 12.5.22. El fallo de WireGuard afecta a un rango más corto, desde 2026.2 y desde 12.12, mientras la mayoría de los demás errores alcanza a equipos desde 2025.1 y desde la rama 12.0. Cada administrador debe contrastar el modelo exacto de su Firebox contra el aviso de cada CVE.
Mientras la actualización se programa, las medidas temporales salen del resumen de SecurityOnline: limitar las interfaces de gestión a equipos de confianza, apagar Access Portal o el proxy SIP donde no se usen y aislar los enlaces de FireCluster. Una copia previa de la configuración deja una salida si algo falla en el mantenimiento, paso barato que en las pymes de la región se salta con frecuencia.
Para una oficina con un Firebox en la entrada, la revisión toma minutos: entrar al panel, leer la versión instalada y compararla con 2026.4, 12.12.4 o 12.5.22. Si el número queda por debajo, el equipo trabaja con fallos documentados en avisos públicos. WatchGuard dejó las correcciones publicadas el 27 de octubre; la distancia entre esa fecha y la actualización de cada empresa medirá el tamaño real del problema.
Fuente: WatchGuard PSIRT
Foto: Cybersecuritynews
