בחומות האש מסדרת Firebox של WatchGuard יש חולשה ברכיב שמטפל בחיבורי VPN, והיא מאפשרת לתוקף מרוחק להריץ קוד על המכשיר בלי להזדהות כלל. הציון הוא 9.3 מתוך 10. CISA נתנה לגופים הפדרליים שבוע אחד בלבד לתקן, אחד החלונות הקצרים שהיא קובעת.

מה החולשה?

התהליך שמנהל את הקמת חיבורי ה-VPN במכשיר מקבל מהצד השני הודעות ומפרסר אותן. בעיבוד ההודעות האלה הוא כותב לאזור בזיכרון יותר ממה שהוקצה לו, וגולש אל מה שיושב אחריו. לסוג הבאג הזה קוראים out of bounds write.

זה לא נשאר קריסה. תוקף שמכוון את מה שנכתב ולאן יכול להשתמש בגלישה כדי לשתול קוד משלו ולגרום למכשיר להריץ אותו. וכיוון שכל זה קורה בשלב הקמת החיבור, עוד לפני שמישהו הזדהה, אין כאן סיסמה שעוצרת את התוקף.

מי מושפע?

מכשירי Firebox שמריצים Fireware בגרסאות שקדמו ל-12.5.15, ל-12.11.6 או ל-2025.1.4, לפי הקו שמותקן אצלכם. החולשה נוגעת גם ל-VPN למשתמשים ניידים וגם לחיבור בין סניפים, בשני המקרים כשהם מוגדרים עם IKEv2.

וכאן הפרט שהכי קל לפספס, והוא מופיע במפורש ברשומה: מכשיר שהיו בו בעבר הגדרות כאלה ומאז נמחקו עלול להישאר חשוף, אם עדיין מוגדר בו חיבור בין סניפים אל צד שני עם כתובת קבועה. כלומר מחיקת ההגדרה שהכניסה אתכם לטווח אינה בהכרח מוציאה אתכם ממנו.

בישראל Firebox נפוץ אצל עסקים קטנים ובינוניים ובסניפים מרוחקים של ארגונים, לרוב כמכשיר אחד שעושה גם חומת אש וגם VPN. משתמשים פרטיים אינם מושפעים.

האם מנוצלת בפועל?

כן. ב-19 בדצמבר 2025 הכניסה CISA את החולשה לקטלוג ה-KEV שלה, שבו נרשמות חולשות שידוע כי הן מנוצלות בידי תוקפים. המועד שנקבע לגופים הפדרליים היה ה-26 בדצמבר 2025, שבוע בלבד לאחר מכן. ציוד היקפי שמחובר לאינטרנט הוא יעד מועדף בדיוק מהסיבה הזאת: הוא חשוף מטבעו ואי אפשר לשים לפניו הגנה נוספת.

מה עושים?

עדכנו את Fireware לגרסה 12.5.15, 12.11.6 או 2025.1.4, לפי קו הגרסאות של המכשיר שלכם. הגרסאות מפורטות גם בתיבת המידע הטכני בתחתית העמוד.

אל תסתפקו בבדיקה אם מוגדר אצלכם VPN למשתמשים ניידים. בדקו גם אם קיים חיבור בין סניפים, כולל כזה שמוגדר אל כתובת קבועה, כי לפי ההודעה הוא לבדו מספיק כדי להשאיר את המכשיר בטווח.

אם יש לכם ספק לגבי ההגדרות במכשיר, הודעת האבטחה של WatchGuard מקושרת בתיבת המידע הטכני והיא מפרטת את הצירופים המדויקים. בזמן שאתם שם, עברו על יומני החיבורים וחפשו התחברויות VPN ממקורות שאינכם מזהים.