הרשומה הזאת מקדישה פסקה שלמה לתנאי אחד, וזה סימן שכדאי לקרוא אותה עד הסוף. החולשה עצמה יושבת בתהליך iked של Fireware, מערכת ההפעלה של חומות האש מסדרת Firebox, ומאפשרת לתוקף מרוחק ובלי הזדהות להריץ קוד. הציון 9.3. הפסקה השנייה ברשומה מסבירה שגם מי שמחק את ההגדרה שהכניסה אותו לטווח אינו בהכרח מחוצה לו.

מה החולשה?

IKEv2 הוא הפרוטוקול שבו שני צדדים מסכימים ביניהם על מפתחות לפני שמנהרת ה-VPN קמה. כלומר זו שיחה שמתרחשת בהכרח לפני שמישהו הזדהה, והצד שמנהל אותה במכשיר הוא תהליך בשם iked.

הבאג שהרשומה מתארת הוא כתיבה מחוץ לתחום הזיכרון שהוקצה. התהליך כותב נתונים מעבר לשטח שיועד להם, ומה שיושב מעבר לגבול אינו מקום פנוי אלא זיכרון שיש לו כבר בעלים ותפקיד. תוקף ששולט בתוכן ובמיקום יכול לדרוס שם ערכים שמכוונים את זרימת התוכנית ולהפנות אותה אל קוד שהוא הביא.

וכאן הצירוף שקובע. הבאג יושב בשיחה שקודמת לאימות, ולכן אין שלב שבו המכשיר בודק מי מדבר איתו ויכול לעצור את זה. הדירוג בסולם 4.0 נותן 9.3, עם גישה מהרשת, בלי דרישת הרשאות, בלי פעולה של משתמש, ופגיעה גבוהה בסודיות, בשלמות ובזמינות של המכשיר עצמו.

מי מושפע?

הרשומה מגדירה את הטווח לפי קווי גרסאות. Fireware מ-11.10.2 ועד 12.11.4 בקו אחד, ומ-11.10.2 ועד 12.5.13 בקו השני, כלומר הגרסאות המתקנות הן 12.11.4 ו-12.5.13 לפי הקו שרץ אצלכם. גרסה 2025.1 מסומנת אף היא כחשופה, ולגביה הרשומה אינה נוקבת בגרסה מתקנת.

שימו לב לנקודת ההתחלה של הטווח, 11.10.2. משמעותה שגם מכשיר שלא עודכן זמן רב נמצא בפנים, ולא רק מי שיושב על גרסה אחרונה כמעט.

ההגדרות שמכניסות לטווח הן VPN למשתמשים ניידים עם IKEv2, וגם חיבור בין סניפים עם IKEv2 אל צד שני בעל כתובת דינמית. ואז מגיע התנאי שבגללו הרשומה חריגה: מכשיר שהיו בו הגדרות כאלה ומאז נמחקו עלול להישאר חשוף, אם עדיין קיים בו חיבור בין סניפים אל צד בעל כתובת קבועה. הפעולה שנראית כמו ביטול החשיפה אינה בהכרח מבטלת אותה.

הרשומה מפרטת גם דגמים מסדרת Firebox M: M270, M290, M370, M390, M440, M470 ו-M4600.

בישראל השאלה כאן אינה על משתמשים אלא על ארון תקשורת. מי שמחזיק Firebox מחזיק בדרך כלל קופסה אחת שעומדת בין הרשת שלו לאינטרנט, וחולשה בה אינה חולשה בעוד שרת אחד.

האם מנוצלת בפועל?

כן. ב-12 בנובמבר 2025 צירפה סוכנות הסייבר האמריקאית CISA את החולשה לקטלוג ה-KEV, הרשימה שמרכזת חולשות שיש עליהן ראיה לניצול בשטח, עם מועד טיפול לגופים הפדרליים בארצות הברית ב-3 בדצמבר 2025. הרשומה ב-NVD פורסמה ב-17 בספטמבר 2025.

ויש כאן פרט שמשנה את חישוב הזמן. בין המקורות מופיע קוד ניצול שפרסמה watchTowr Labs ב-GitHub. כשקוד כזה פומבי, הפער בין מי שיודע לנצל את החולשה לבין מי שרק קרא עליה מצטמצם.

מה עושים?

עדכנו את Fireware ל-12.11.4 או ל-12.5.13, לפי הקו של המכשיר שלכם. הודעת האבטחה של WatchGuard, WGSA-2025-00015, היא המסמך הרשמי, ולצדה עמוד החולשה באתר ה-PSIRT של החברה. מי שרץ על 2025.1 זקוק להודעה הזאת כדי לדעת לאן לעדכן, כי הרשומה עצמה אינה אומרת.

אל תסתמכו על מחיקת ההגדרה. הרשומה אומרת במפורש שמכשיר שההגדרות הרלוונטיות נמחקו בו עלול להישאר חשוף כל עוד קיים בו חיבור בין סניפים אל כתובת קבועה, ולכן הבדיקה צריכה לעבור על כל הגדרות ה-VPN שקיימות במכשיר ולא רק על אלה שמופיעות בכותרת.

ואם המכשיר רץ על גרסה ישנה, שימו לב שהטווח מתחיל ב-11.10.2. עדכון מגרסה כזאת אינו צעד קטן, וכדאי לתכנן אותו כחלון תחזוקה ולא לדחוף אותו באמצע יום עבודה.