Kurz gesagt
WatchGuard hat am 27. Oktober 17 Lücken im Firewall-Betriebssystem Fireware OS veröffentlicht, sieben davon kritisch. Ein einziges Update schließt alle: Fireware OS 2026.4, 12.12.4 oder bei T15 und T35 die 12.5.22. Lassen Sie es einspielen und prüfen Sie, welche der betroffenen Funktionen bei Ihnen eingeschaltet sind.
Was ist passiert?
Die Firebox von WatchGuard ist in vielen kleinen und mittleren Betrieben die Firewall am Internetanschluss. Ihr Betriebssystem heißt Fireware OS. Am 27. Oktober hat der Hersteller 17 Sicherheitshinweise dazu veröffentlicht, dazu einen für den VPN-Client unter Windows.
Die meisten Lücken greifen nur, wenn eine bestimmte Funktion genutzt wird: die Anmeldung über Active Directory, das Access Portal, der SIP-Proxy für Internettelefonie, ein FireCluster aus zwei Geräten oder die Rolle als FireCloud Gateway. Einige davon erlauben es, ohne Anmeldung fremden Code auf der Firewall auszuführen. Bewertet sind sie mit bis zu 9,5 von 10. WatchGuard ist bisher keine Ausnutzung bekannt.
Was bedeutet das?
Die Firewall ist das Gerät, das Ihr Netz vom Internet trennt. Wer sie übernimmt, steht im Netz. Dass Angreifer Firebox-Lücken gezielt nutzen, ist belegt: Zwei Lücken aus dem Jahr 2025 führt die US-Behörde CISA als aktiv ausgenutzt, eine davon bei Erpressungsangriffen.
Die gute Nachricht: Es gibt ein Update für alles. Die schlechte: Firewalls werden in kleinen Betrieben oft einmal eingerichtet und dann vergessen. Ob eine Funktion wie das Access Portal einmal eingeschaltet wurde, weiß im Haus meist niemand mehr.
Was Sie jetzt tun können
- Zuständigkeit klären: Wer verwaltet Ihre Firebox? Systemhaus, eigene IT oder ein Dienstleister über WatchGuard Cloud?
- Schriftlich anfragen. Vorlage: „Bitte nennen Sie die Fireware-Version unserer Firebox und bestätigen Sie mit Datum das Update auf 2026.4, 12.12.4 oder 12.5.22 gemäß den WatchGuard-Sicherheitshinweisen vom 27.10.2026.“
- Funktionen erfragen: Ist bei uns ein Active-Directory-Server zur Anmeldung eingetragen? Ist das Access Portal aktiv? Läuft ein SIP-Proxy? Gibt es einen FireCluster? Ist die Firebox ein FireCloud Gateway? Jedes Ja heißt: Dieses Update hat Vorrang.
- Verwaltungszugang begrenzen: Weboberfläche und SSH-Verwaltung der Firebox sollten nicht aus dem Internet erreichbar sein. Lassen Sie das bestätigen.
- VPN-Client erneuern: Wer mit dem Mobile VPN with SSL Client unter Windows arbeitet, braucht den Client 2026.4. Das betrifft jeden Laptop im Außendienst und im Homeoffice.
- Bis zum Update: Nicht benötigte Funktionen wie Access Portal oder SIP-Proxy abschalten lassen. Was aus ist, kann nicht angegriffen werden.
- Ältere Geräte: Läuft Ihre Firebox auf einer Version vor 12.0 oder wird sie nicht mehr unterstützt, fragen Sie nach einem Ersatzplan.
Häufige Fragen
Wir nutzen keine dieser Funktionen. Müssen wir trotzdem aktualisieren? Ja. Vier der Lücken nennen keine besondere Funktion als Voraussetzung, darunter der Absturz der Verwaltungsoberfläche. Und ob eine Funktion aus ist, sollte bestätigt, nicht vermutet werden. Gibt es schon Angriffe? WatchGuard ist keine bekannt, und die CISA führt die neuen Lücken nicht als ausgenutzt. Ältere Firebox-Lücken wurden aber angegriffen. Unterbricht das Update unser Internet? Ein Firmware-Update startet die Firewall in der Regel neu. Lassen Sie den Termin außerhalb der Arbeitszeit legen.
Quellen
- WatchGuard PSIRT: Security Advisories (Übersicht) (27. Oktober 2026)
- WatchGuard PSIRT: CVE-2026-112710, Heap Buffer Overflow in AD Authentication Service (27. Oktober 2026)
- WatchGuard PSIRT: CVE-2026-93857, Pre-Authentication Stack Buffer Overflow in SIP Proxy (27. Oktober 2026)
- WatchGuard PSIRT: CVE-2026-93866, Pre-Authentication Integer Overflow in Access Portal (27. Oktober 2026)
- WatchGuard PSIRT: CVE-2026-115495, Mobile VPN with SSL Client for Windows (27. Oktober 2026, aktualisiert 29. Oktober 2026)
- CISA: Known Exploited Vulnerabilities Catalog (Katalogstand 30. Oktober 2026)
Stand: 31. Oktober 2026. Ersetzt keine Prüfung im Einzelfall. Transparenz: Diese Einordnung ist KI-generiert mit menschlicher Prüfung, gekennzeichnet nach Art. 50 der europäischen KI-Verordnung. Auswahl, Quellenprüfung und Freigabe: Schoonnect.