WatchGuard corrige une vulnérabilité critique d’exécution de code à distance dans Fireware OS

WatchGuard a officiellement publié des mises à jour de sécurité pour corriger 15 vulnérabilités distinctes au sein de sa gamme Fireware OS. La publication est marquée par une vulnérabilité critique d'exécution de code à distance (RCE) affectant directement les boîtiers de sécurité réseau Firebox. Référencée sous le code CVE-2026-86131, cette faille majeure affiche un score de gravité CVSS de 9,2. Elle découle d'une faiblesse d'injection de code dans le mécanisme du système d'exploitation gérant les configurations des clients BOVPN sur TLS.

Privilèges root et correctifs système complémentaires

En cas d'exploitation réussie, cette faille critique permet à un attaquant distant contrôlant un serveur VPN malveillant ou compromis d'exécuter du code arbitraire avec des privilèges root élevés sur n'importe quel appareil Firebox se connectant à celui-ci. Pour atténuer ces risques, WatchGuard a déployé des correctifs ciblés sur plusieurs versions de Fireware OS, notamment les builds 2026.3.2, 2026.2.3, 12.12.3 et 12.5.21. Les administrateurs système sont invités à appliquer ces mises à jour rapidement afin de sécuriser leurs infrastructures réseau.

Outre ce problème majeur, la mise à jour de sécurité résout 13 vulnérabilités de sévérité élevée. Ces défauts secondaires entraînent des risques sérieux, incluant l'exécution de code à distance, le contournement d'autorisation, des conditions de refus de service, des accès SSLVPN non autorisés et la lecture arbitraire de fichiers locaux. WatchGuard a également corrigé un défaut d'autorisation de sévérité moyenne affectant l'accès aux applications web. Plusieurs de ces failles pouvaient être exploitées à distance par des attaquants non authentifiés.

Vulnérabilités résolues sur les points d'accès

Le déploiement pour Fireware OS fait suite à des mises à jour de sécurité publiées pour les points d'accès matériels WatchGuard fonctionnant sous la version logicielle 3.4.8. Ces correctifs traitent deux vulnérabilités critiques référencées CVE-2026-101891 et CVE-2026-86102. Sans correctif, ces failles permettraient à des attaquants non authentifiés d'obtenir des jetons de session API internes valides et d'exécuter des commandes shell arbitraires sur le matériel concerné.

La version 3.4.8 résout également une faille d'injection de commandes OS de sévérité élevée, bien que son exploitation nécessitât des privilèges d'administrateur préalables. WatchGuard a confirmé qu'aucune des vulnérabilités divulguées sur ses produits Fireware OS ou points d'accès n'a fait l'objet d'exploitations actives sur le terrain avant l'annonce des correctifs. L'application immédiate des mises à jour reste néanmoins vivement recommandée.

Illustration éditoriale générée par IA ; ce n’est pas une photographie documentaire.

Source: WatchGuard Patches Critical Fireware OS Code Injection Vulnerability