CVE-2025-14733, la falla critica di WatchGuard Firebox già sfruttata attivamente, è ora associata anche a campagne ransomware. Il 10 settembre 2026 la CISA ha aggiornato le informazioni sulla vulnerabilità nel catalogo delle falle note come sfruttate, alzando ulteriormente la priorità per chi gestisce appliance Firebox non ancora aggiornate.
La vulnerabilità interessa il processo iked di Fireware OS e può consentire a un attaccante remoto non autenticato di eseguire codice arbitrario in determinate configurazioni IKEv2. WatchGuard aveva già pubblicato le correzioni nel dicembre 2025, ma la nuova indicazione sull’uso in attacchi ransomware cambia il livello di urgenza: non basta sapere che esiste una patch, bisogna verificare subito versione, configurazione e possibili segnali di compromissione.
CVE-2025-14733: cosa cambia con l’uso nei ransomware
WatchGuard descrive CVE-2025-14733 come una vulnerabilità di tipo out-of-bounds write nel processo iked di Fireware OS. Il produttore assegna un punteggio CVSS 4.0 di 9,3, Critical e conferma che attori malevoli hanno tentato attivamente di sfruttarla in rete.
La novità del 10 settembre 2026 è l’indicazione della CISA relativa all’uso noto in campagne ransomware. Il dato compare nell’aggiornamento del catalogo Known Exploited Vulnerabilities ed è stato ripreso anche da BleepingComputer. Non viene indicato un singolo gruppo ransomware a cui attribuire tutti gli attacchi, quindi è più corretto parlare di sfruttamento associato a campagne ransomware senza assegnare nomi non confermati.
| Voce | Dato |
|---|---|
| Vulnerabilità | CVE-2025-14733 |
| Prodotto | WatchGuard Firebox / Fireware OS |
| Componente | iked / IKEv2 |
| Impatto | Esecuzione di codice da remoto senza autenticazione |
| CVSS WatchGuard | 9,3 Critical |
| Sfruttamento | Attivo; CISA indica uso noto in ransomware |
| Priorità | Aggiornamento immediato e verifica di compromissione |
Quali versioni Fireware OS sono vulnerabili
Secondo il bollettino WatchGuard, per il ramo standard sono interessate le versioni da 2025.1 fino a prima di 2025.1.4, da 12.0 fino a prima di 12.11.6 e da 11.10.2 fino a 11.12.4+541730 compresa. Sono previste soglie specifiche anche per T15/T35 e per il ramo FIPS.
| Ramo Fireware OS | Versioni interessate | Prima versione indicata come non vulnerabile |
|---|---|---|
| 2025.1 | >= 2025.1 e < 2025.1.4 | 2025.1.4 |
| 12.x standard | >= 12.0 e < 12.11.6 | 12.11.6 |
| 11.x | >= 11.10.2 e <= 11.12.4+541730 | successiva a 11.12.4+541730 |
| T15/T35 | >= 12.0 e < 12.5.15 | 12.5.15 |
| FIPS | >= 12.0 e < 12.3.1+728352 | 12.3.1+728352 |
Questi valori servono a capire la soglia della correzione, non a suggerire di installare oggi una release vecchia soltanto perché è la prima non vulnerabile. Se il modello è ancora supportato, la scelta corretta è installare l’ultima versione Fireware OS compatibile e raccomandata da WatchGuard, seguendo il percorso di upgrade previsto per la propria appliance.
Quando un Firebox è esposto alla falla
Il problema riguarda le configurazioni che usano Mobile User VPN con IKEv2 e le Branch Office VPN con IKEv2 configurate con peer gateway dinamico. C’è però un dettaglio importante: WatchGuard avverte che un Firebox può restare vulnerabile anche dopo aver eliminato quelle configurazioni, se sul dispositivo è ancora presente una Branch Office VPN verso un peer gateway statico.
Per questo disattivare o cancellare oggi una voce IKEv2 non va considerato equivalente all’installazione della patch. Se l’appliance rientra nelle versioni vulnerabili, la priorità resta l’aggiornamento.
Cosa fare subito su WatchGuard Firebox
- Inventaria i Firebox esposti: identifica modello, ramo Fireware OS e versione realmente installata.
- Controlla la configurazione VPN: verifica l’uso attuale o precedente di Mobile User VPN IKEv2 e BOVPN IKEv2.
- Aggiorna Fireware OS: usa una release supportata che includa la correzione di CVE-2025-14733, preferendo la più recente compatibile con il dispositivo.
- Verifica che l’upgrade sia riuscito: dopo il riavvio controlla la versione effettiva, lo stato delle VPN e i servizi esposti.
- Esamina log e comportamento del processo IKE: crash o blocchi anomali di
iked, richieste IKE_AUTH fuori norma e traffico insolito meritano analisi. - Se sospetti uno sfruttamento, tratta il dispositivo come compromesso: conserva le evidenze, limita l’esposizione e avvia una procedura di incident response.
Se l’appliance è una componente perimetrale aziendale, l’aggiornamento va pianificato con backup della configurazione e finestra di manutenzione, ma la presenza di sfruttamento attivo e ransomware rende rischioso rinviare senza una motivazione concreta.
Patchare non significa automaticamente bonificare
Una patch impedisce nuovi tentativi attraverso la vulnerabilità corretta, ma non cancella automaticamente ciò che un attaccante può avere ottenuto prima dell’upgrade. Questo è il controllo più importante dopo aver portato Fireware OS a una versione corretta.
WatchGuard ha osservato attività post-exploit in cui gli attaccanti hanno cercato di sottrarre la configurazione attiva del Firebox e, in alcuni casi, anche il database degli utenti di gestione locali. Il produttore raccomanda quindi, quando esistono evidenze di attività malevola riuscita, di ruotare tutti i segreti memorizzati localmente sul Firebox.
- credenziali amministrative locali;
- segreti condivisi usati dalle VPN;
- password o chiavi presenti nella configurazione;
- credenziali di servizi esterni configurati sull’appliance;
- eventuali certificati o materiale crittografico da sostituire secondo la procedura del produttore.
La rotazione va eseguita da un ambiente considerato affidabile. Se non hai competenze interne di incident response, coinvolgi il supporto WatchGuard o un team specializzato invece di limitarti a cambiare una password e rimettere l’appliance online.
Quali segnali controllare nei log
Il bollettino WatchGuard fornisce diversi indicatori utili per le appliance che non hanno ancora ricevuto la correzione. Tra quelli descritti dal produttore ci sono catene di certificati peer insolitamente lunghe, payload CERT anormalmente grandi nelle richieste IKE_AUTH, blocchi del processo IKE e crash di iked.
Nessun singolo crash dimostra da solo una compromissione: WatchGuard specifica che iked può terminare anche per altre cause. Il valore aumenta quando più segnali coincidono, soprattutto insieme a connessioni esterne anomale o modifiche non autorizzate alla configurazione.
Se non puoi aggiornare immediatamente
WatchGuard documenta un workaround temporaneo per alcuni Firebox configurati esclusivamente con Branch Office VPN verso peer gateway statici. Non va però trattato come sostituto permanente della patch, soprattutto ora che la vulnerabilità è legata a ransomware.
Se l’upgrade è bloccato da dipendenze operative, riduci l’esposizione, applica le indicazioni ufficiali del produttore per l’accesso sicuro alle BOVPN IKEv2 e definisci una finestra di aggiornamento il prima possibile. Evita workaround improvvisati che disabilitano servizi senza sapere quali tunnel o sedi remote dipendano dalla configurazione.
Firebox e gli altri apparati di rete: il cluster di rischio è lo stesso
Gli apparati perimetrali sono bersagli particolarmente interessanti perché restano esposti e concentrano traffico, VPN e credenziali. Nei giorni scorsi abbiamo seguito anche gli attacchi contro MikroTik RouterOS e MikroTrick e le vulnerabilità sfruttate su Cisco Secure FMC.
Per una verifica più generale della rete, anche in ambito domestico o piccolo ufficio, resta utile la checklist sui controlli di sicurezza da fare sul router: firmware, esposizione della gestione, credenziali, DNS e dispositivi collegati sono controlli diversi dalla singola CVE ma riducono il rischio complessivo.
FAQ su CVE-2025-14733 e WatchGuard Firebox
CVE-2025-14733 è sfruttata attivamente?
Sì. WatchGuard afferma di aver osservato tentativi attivi di sfruttamento e, dal 10 settembre 2026, la CISA indica l’uso noto della vulnerabilità in campagne ransomware.
Quali versioni Fireware OS correggono la falla?
Per i rami principali WatchGuard indica come prime versioni non vulnerabili 2025.1.4 e 12.11.6; per T15/T35 indica 12.5.15 e per il ramo FIPS 12.3.1+728352. Su sistemi ancora supportati conviene installare la release più recente compatibile che contenga la correzione.
Basta disattivare IKEv2?
No. Il produttore segnala che alcune appliance possono restare vulnerabili anche dopo aver eliminato precedenti configurazioni IKEv2, se è ancora configurata una BOVPN verso un peer statico. La misura principale resta aggiornare Fireware OS.
Dopo l’aggiornamento devo ripristinare il Firebox?
Non automaticamente. Se non ci sono segnali di compromissione, l’upgrade chiude la vulnerabilità. Se invece emergono indicatori di attività malevola, serve una procedura di incident response e la rotazione dei segreti indicata da WatchGuard; un semplice aggiornamento non dimostra che il sistema sia già bonificato.
La priorità, oggi, è quindi verificare la versione di ogni WatchGuard Firebox esposto, installare la release corretta e controllare se l’appliance mostra segnali compatibili con uno sfruttamento precedente. La novità ransomware rende CVE-2025-14733 una falla da trattare come operativa, non come un bollettino vecchio già risolto sulla carta.
