WatchGuard ha rilasciato correzioni per oltre due dozzine di vulnerabilità nei propri prodotti. Cinque sono classificate come critiche con punteggio CVSS 9.3, e tre di queste si trovano nello stesso identico punto in cui la casa ha già dovuto intervenire più volte negli ultimi dodici mesi: il processo iked di Fireware OS, il demone che gestisce le negoziazioni IPsec e lo scambio di chiavi IKEv1 e IKEv2 sui firewall Firebox.

Al momento della pubblicazione il vendor dichiara di non essere a conoscenza di sfruttamento in rete. La storia recente di questo componente suggerisce però di non prendere quella frase come una dilazione.

Le falle

Le tre vulnerabilità critiche in iked sono sfruttabili senza autenticazione, inviando traffico di rete appositamente costruito verso l'apparato:

  • CVE-2026-19313 — heap buffer overflow nel processo iked. Il traffico malevolo fa crollare il processo e scrive dati controllati dall'attaccante oltre il buffer allocato, aprendo la strada all'esecuzione di codice remoto.
  • CVE-2026-19315 — type confusion. Un messaggio IKE_AUTH contenente due payload EAP provoca una lettura fuori dai limiti seguita da una free() su un puntatore influenzabile dall'attaccante: denial of service immediato e potenziale corruzione di memoria oltre il DoS.
  • CVE-2026-19318 — stack-based buffer overflow, anch'esso nel medesimo processo.

A queste si aggiungono due criticità fuori dal perimetro IKE:

  • CVE-2026-13086 — stack overflow nel servizio Endpoint Protection Manager (epm) usato dalla funzione Mobile Security, ormai deprecata in Fireware OS. Porta a esecuzione di codice remoto.
  • CVE-2026-78174 — in WatchGuard Dimension, la piattaforma di logging e reportistica: un amministratore con privilegi ridotti può estrarre il session ID e i token CSRF di un super admin, prendendo di fatto il controllo del suo account.

Il quadro si completa con sette vulnerabilità di gravità alta in Fireware OS che portano a denial of service — sei delle quali ancora in iked — cinque falle alte in Dimension (esecuzione di comandi arbitrari, manomissione della passphrase dell'amministratore globale, DoS) e undici di gravità media.

Versioni corrette: Fireware OS 2026.2.2, 12.12.2 e 12.5.20 (quest'ultima per i modelli T15 e T35), Dimension 2.3.1. Secondo l'advisory del vendor sono interessate le versioni da 2025.0 fino a 2026.2.2 esclusa e da 12.0 fino a 12.12.2 esclusa, mentre per T15 e T35 il perimetro va da 12.0 fino a 12.5.20 esclusa.

La scoperta della type confusion è accreditata a McCaulay Hudson di watchTowr.

Cosa significa per le aziende italiane

Il primo elemento è il precedente, e pesa più della gravità dichiarata. Nel settembre 2025 WatchGuard aveva corretto una RCE quasi identica sempre in iked (CVE-2025-9242). Nel dicembre 2025 ne è arrivata un'altra, CVE-2025-14733, questa volta sfruttata attivamente: CISA l'ha inserita nel catalogo KEV il giorno successivo alla patch. Pochi giorni dopo, i dati di Shadowserver contavano oltre 115.000 Firebox esposti su Internet e ancora non aggiornati.

Due letture, entrambe scomode. La prima: la superficie IKEv2 dei Firebox è sotto ricerca attiva e continuativa, il che significa che l'intervallo tra pubblicazione della patch e comparsa di un exploit funzionante si sta accorciando. La seconda, più rilevante per il mercato italiano: il tasso di aggiornamento su questa classe di apparati è pessimo. Non per negligenza dei singoli, ma per come sono organizzate le responsabilità.

Il secondo elemento è proprio questo. WatchGuard dichiara di proteggere oltre 250.000 piccole e medie imprese nel mondo attraverso una rete di circa 17.000 rivenditori e fornitori di servizi gestiti. In Italia il Firebox è tipicamente venduto, installato e mantenuto dal rivenditore o dall'MSP: l'azienda cliente non sa quale versione di Fireware stia girando sul proprio perimetro, non riceve gli advisory del vendor e non ha visibilità sulla pianificazione degli aggiornamenti. Nel contratto, la manutenzione firmware compare spesso come voce generica, senza tempi di intervento né responsabilità definite.

Qui c'è un problema che non è tecnico. Il D.Lgs. 138/2024, che recepisce la NIS2 in Italia, attribuisce agli organi di amministrazione e direttivi la responsabilità di approvare e sorvegliare le misure di gestione del rischio di cybersicurezza. Quella responsabilità non si trasferisce con un contratto di manutenzione. Un'azienda in perimetro NIS2 che non sappia dire quale versione firmware espone il proprio firewall verso Internet ha un problema di conformità prima ancora che di sicurezza.

Il terzo elemento è la continuità operativa, che di solito viene sottovalutata. Sei delle falle di gravità alta fanno cadere iked. Un iked che crolla significa VPN giù: filiali isolate, lavoro da remoto interrotto, connessioni site-to-site verso fornitori e data center non disponibili. Per una PMI italiana che usa il Firebox come unico concentratore VPN, un attacco banale in denial of service è un fermo operativo, non un fastidio. Vale la pena chiedersi se esista un percorso di accesso alternativo o se il firewall sia un singolo punto di guasto.

Il quarto: Dimension è il prodotto che tutti dimenticano. Viene installato all'inizio del progetto, produce report per un paio di mesi e poi resta lì. La CVE-2026-78174 è particolarmente rilevante negli scenari MSP, dove sulla stessa istanza convivono account amministrativi con livelli di privilegio diversi, talvolta relativi a clienti diversi.

Cosa fare subito

  • Aggiornare Fireware OS a 2026.2.2 o 12.12.2 secondo il ramo in uso; per gli apparati T15 e T35 la versione corretta è 12.5.20. Aggiornare Dimension a 2.3.1.
  • Chiedere per iscritto al rivenditore o all'MSP tre informazioni: versione firmware attualmente in esercizio, data prevista di aggiornamento, soggetto contrattualmente responsabile del patching. Conservare la risposta.
  • Se l'aggiornamento non è immediato, restringere l'esposizione dell'endpoint IKE (UDP 500 e 4500) alle sole controparti note, e disabilitare la VPN mobile IKEv2 se non è effettivamente utilizzata.
  • Disabilitare la funzione Mobile Security, ormai deprecata, se non in uso: riduce la superficie della CVE-2026-13086.
  • Togliere Dimension dall'esposizione su Internet e rivedere gli account amministrativi a privilegi ridotti, rimuovendo quelli non più necessari.
  • Verificare lo stato di supporto degli apparati T15 e T35 e pianificarne la sostituzione se fuori manutenzione: la storia recente mostra che restano scoperti più a lungo degli altri.
  • Monitorare i riavvii ripetuti del processo iked nei log dell'apparato: sono il segnale più diretto di tentativi di sfruttamento contro questa famiglia di falle.
  • Censire tutti gli apparati perimetrali con la relativa versione firmware e assegnare un responsabile nominativo per il patching. È l'unica misura che vale anche per la prossima falla iked.