WatchGuard Fireware OS'te, giriş yapmadan kod çalıştırmaya izin veren SIP proxy açığı dahil 17 açık kapatıldı

WatchGuard, 27 Ekim’de Firebox güvenlik duvarlarında çalışan Fireware OS işletim sistemindeki 17 açık için CVE kaydı yayımladı. Aynı gün WatchGuard’ın Windows için Mobile VPN with SSL istemcisindeki bir açığın kaydı da yayımlandı. Fireware OS’teki açıkların hepsi 2026.4 ve 12.12.4 sürümleriyle kapatıldı. T15 ve T35 modellerinde düzeltme 12.5.22 sürümünde.

Giriş gerektirmeyen SIP proxy açığı

En ciddi açıklardan CVE-2026-93857, Fireware OS’in SIP proxy bileşenindeki bir yığın taşması (stack-based buffer overflow). WatchGuard’ın bildirimine göre giriş yapmamış bir saldırgan, SIP proxy kullanan bir kural üzerinden özel hazırlanmış bir istek göndererek cihazda kod çalıştırabiliyor. İstismar için Firebox’ta bir SIP proxy’nin yapılandırılmış olması gerekiyor. Açığın CVSS 4.0 puanı 9.2. WatchGuard açığın saldırılarda kullanıldığından haberdar olmadığını belirtiyor. Açığı secorizon.com’dan Laurent Gaffie buldu.

Diğer kritik açıklar

CVE kayıtlarına göre CVSS 4.0 puanı 9 ve üzerinde olan diğer açıklar şunlar:

• CVE-2026-93866 (9.2): Access Portal özelliği açıkken kullanılan WebSocket bağlantılarının işlenmesindeki bir tamsayı taşması, giriş yapmamış bir saldırganın özel hazırlanmış bir istekle bellekte ayrılan alanın dışına yazmasına izin veriyor.
• CVE-2026-93865 (9.2): Kümeleme (FireCluster) özelliği açıkken eşitleme servisinde kimlik doğrulaması eksik. Giriş yapmamış bir saldırgan, FireCluster yönetim IP adresine özel hazırlanmış bir istek göndererek sistem düzeyinde yetkili yönetim işlemleri başlatabiliyor.
• CVE-2026-112709 ve CVE-2026-112710 (9.2): Kimlik doğrulama servisindeki iki bellek taşması, cihazın bağlı olduğu Active Directory sunucusunun trafiğini kontrol eden ya da araya giren bir saldırganın özel hazırlanmış bir yanıtla cihazı hizmet dışı bırakmasına, hatta kod çalıştırmasına yol açabiliyor.
• CVE-2026-103594 (9.5): WireGuard yapılandırmasının işlenmesindeki bir yığın taşması, cihazı hizmet dışı bırakmaya, hatta kod çalıştırmaya yol açabiliyor. İstismar için saldırganın Firebox ile WatchGuard Cloud arasındaki TLS trafiğini çözerek araya girebilmesi gerekiyor. Açık 2026.2 ve 12.12 serilerini etkiliyor.
• CVE-2026-103593 (9.1): Günlük kayıt (logging) servisindeki bir yığın taşması, yapılandırılmış kayıt sunucusunun kimliğine bürünebilen ya da trafiğinin arasına girebilen, aynı ağ kesimindeki bir saldırganın özel hazırlanmış bir sertifikayla root yetkisiyle kod çalıştırmasına izin veriyor.

Bunların dışında, yönetim SSH arayüzüne erişebilen ve giriş yapmamış bir saldırganın yapılandırmadaki hassas bilgileri çekmesine izin veren bir XPath injection açığı (CVE-2026-93434) ve yönetim arayüzüne özel hazırlanmış bir giriş isteği göndererek yönetim servisini çökertmeye yol açan bir açık (CVE-2026-111107) da kapatıldı. Kayda göre bu son açık trafik işlenmesini etkilemiyor, ancak tekrar tekrar istismar edildiğinde bütün aktif yönetici oturumlarını sonlandırıyor ve cihazın yönetilmesini engelleyebiliyor. Windows için Mobile VPN with SSL istemcisindeki açık (CVE-2026-115495) ise bilgisayardaki yerel (loopback) trafiği yakalayabilen yerel bir saldırganın kullanıcının VPN kullanıcı adını ve parolasını ele geçirmesine izin veriyor. İstemcide düzeltme 2026.4 sürümünde.

Etkilenen ve düzeltilmiş sürümler

• Fireware OS 2025.1 ile 2026.4 öncesi: düzeltilmiş sürüm 2026.4
• Fireware OS 12.0 ile 12.12.4 öncesi: düzeltilmiş sürüm 12.12.4
• T15 ve T35 modellerinde Fireware OS 12.0 ile 12.5.22 öncesi: düzeltilmiş sürüm 12.5.22

Önerilen önlemler

• Firebox cihazlarını kullandığınız seriye göre 2026.4, 12.12.4 ya da 12.5.22 sürümüne yükseltin.
• Windows için Mobile VPN with SSL istemcisini 2026.4 sürümüne güncelleyin.

SIP proxy, Access Portal ve FireCluster açıklarının istismarı için bu özelliklerin cihazda kullanılıyor olması gerekiyor.