Kerngegevens
- Leverancier
- WatchGuard
- Product
- WatchGuard AuthPoint Gateway
- Soort software
- firewall
- Getroffen versies
- WatchGuard AuthPoint Gateway 1.0 tot en met 7.5.x (ouder dan 7.6.0)
- Oplossing
- Update beschikbaar
- Opgeloste versie
- WatchGuard AuthPoint Gateway 7.6.0 WatchGuard-advies CVE-2026-121638 (opent in een nieuw venster)
- CVE gepubliceerd
- 4 november 2026
- Gepubliceerd op LekkenRadar
- 4 november 2026
- Laatst gewijzigd bij NVD
- 4 november 2026
Simpel uitgelegd
Wat is er aan de hand?
De AuthPoint Gateway van WatchGuard controleert in versie 7.5.x en ouder certificaten niet goed genoeg; WatchGuard loste dit op in versie 7.6.0. Daardoor kan een aanvaller die zich op het netwerkpad bevindt, het verkeer tussen de gateway en lokale authenticatiediensten onderscheppen en aanpassen. Het lek heeft ernst kritiek (9,1). Het staat niet op de lijst van actief misbruikte lekken.
Wie loopt risico?
Je loopt risico als je een AuthPoint Gateway gebruikt in een versie van 1.0 tot 7.6.0. De aanvaller moet op het netwerkpad tussen de gateway en de lokale authenticatiediensten zitten. Het lek is dus vooral van belang als je netwerk niet goed is afgeschermd of als een ander systeem op dat pad al is overgenomen.
Wat moet je doen?
Update installeren
| Product | Opgelost in | Update | Download |
|---|---|---|---|
| WatchGuard AuthPoint GatewayInstaller via AuthPoint > Downloads in WatchGuard Cloud; de gateway werkt zichzelf niet bij | 7.6.0 | WatchGuard-advies CVE-2026-121638 (opent in een nieuw venster) | Download (inloggen bij WatchGuard) (opent in een nieuw venster) |
Een latere update van de leverancier lost dit lek ook op. Controleer altijd het advies van de leverancier.
Controleer je versie
Kijk in AuthPoint op de pagina Gateway welke versie je gateways draaien. Versies ouder dan 7.6.0 zijn getroffen. De gateway werkt zichzelf niet automatisch bij.
Werk bij naar 7.6.0
Download de installer via AuthPoint > Downloads in WatchGuard Cloud (opent in een nieuw venster) (inloggen nodig) en voer hem uit op de server van de gateway. Volg de instructies van WatchGuard (opent in een nieuw venster). Werk ook secundaire gateways bij.
Bescherm het netwerk tussen gateway en directory
Het lek is te misbruiken door iemand die het verkeer tussen de gateway en je LDAP- of Active Directory-server kan onderscheppen. Zorg dat dat verkeer over een vertrouwd, afgeschermd netwerk loopt zolang je nog niet hebt bijgewerkt.
Lees het advies
Meer details staan in het advies van WatchGuard (CVE-2026-121638) (opent in een nieuw venster).
Dezelfde update lost meer lekken op
Versie 7.6.0 verhelpt ook CVE-2026-121637, CVE-2026-121639 en CVE-2026-121640. Met de update hierboven zijn die ook opgelost.
Deel dit lek
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen
Beschrijving
Het lek is een onjuiste validatie van certificaten (CWE-295) in WatchGuard AuthPoint Gateway. De gateway controleert het certificaat van de andere partij niet goed bij communicatie met lokale authenticatieproviders. Een aanvaller met een on-path netwerkpositie kan zo een man-in-the-middle-aanval uitvoeren en berichten onderscheppen en wijzigen. Volgens de CVSS 4.0-vector is de aanval via het netwerk mogelijk met lage complexiteit, zonder rechten en zonder gebruikersinteractie. Er is wel een extra voorwaarde voor de aanval (AT:P). De impact op vertrouwelijkheid en integriteit is hoog. Getroffen zijn versies vanaf 1.0 tot 7.6.0, en de oplossing zit in 7.6.0.
CVSS-vector (versie 4.0, basisscore 9,1, bron: CNA)
CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:N/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X- Zwakheid (CWE)
- CWE-295 · Onjuiste validatie van certificaten
- Aanvalsroute
- Via het netwerk of internet
- Aanvalscode openbaar
- Nee