Nieuwsbrief

Elke week de belangrijkste lekken in je mail.

CVE-2026-13046

WatchGuard Fireware OS: onveilige deserialisatie in SAML-dienst samld

Hoog7,5
Door Jelmer SchoutenBijgewerkt op CVSS 4.0 · bron: CNA

Kerngegevens

Leverancier
WatchGuard
Soort software
firewall
Getroffen versies
WatchGuard Fireware OS vanaf 12.0 tot 12.11.10, vanaf 12.12 tot 12.12.3, vanaf 2025.0 tot 2026.2.3, vanaf 2026.3 tot 2026.3.2
Oplossing
Update beschikbaar
Opgeloste versie
WatchGuard Fireware OS 12.11.10
WatchGuard Fireware OS 12.12.3
WatchGuard Fireware OS 2026.2.3
WatchGuard Fireware OS 2026.3.2
CVE gepubliceerd
30 september 2026
Gepubliceerd op LekkenRadar
8 oktober 2026
Laatst gewijzigd bij NVD
8 oktober 2026
Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail

Simpel uitgelegd

Wat is er aan de hand?

In WatchGuard Fireware OS zit een fout in samld, het onderdeel dat SAML single sign-on-sessies afhandelt. Het laadt sessiebestanden zonder voldoende te controleren of die betrouwbaar zijn. Een aanvaller kan daardoor een speciaal gemaakt sessiebestand laten inlezen en zo eigen code laten draaien binnen de samld-service.

Wie loopt risico?

Het risico geldt voor WatchGuard-firewalls met een getroffen versie van Fireware OS. De aanvaller moet al bestanden op het apparaat kunnen schrijven, dus het lek is vooral een extra stap voor iemand die al deels toegang heeft. Volgens de gegevens wordt het lek niet actief misbruikt en is er geen openbare exploit bekend.

Wat moet je doen?

  1. Controleer je Fireware-versie

    Kijk welke versie van Fireware OS op je WatchGuard-apparaten draait. Getroffen zijn onder meer versies vanaf 12.0 tot 12.11.10, vanaf 12.12 tot 12.12.3, vanaf 2025.0 tot 2026.2.3 en vanaf 2026.3 tot 2026.3.2.

  2. Werk bij naar een opgeloste versie

    Installeer de opgeloste versie die bij jouw tak hoort: 12.11.10, 12.12.3, 2026.2.3 of 2026.3.2.

  3. Beperk wie bij het apparaat kan

    Zorg dat alleen vertrouwde beheerders toegang hebben tot het apparaat, zodat niemand ongezien bestanden kan plaatsen. Dit vervangt de update niet.

  4. Lees het advies van de leverancier

    Het advies van WatchGuard staat op psirt.watchguard.com/CVE-2026-13046. Daar vind je de meest actuele informatie.

Deel dit lek

Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen

Beschrijving

Het lek is een deserialisatie van onbetrouwbare gegevens (CWE-502) in samld, de service voor SAML single sign-on-sessies in Fireware OS. De service laadt sessiebestanden van schijf. Een aanvaller die zelf bestanden op het apparaat kan schrijven, kan een kwaadaardig opgemaakt sessiebestand plaatsen. Zodra samld dat bestand laadt, wordt willekeurige code uitgevoerd met de rechten van de samld-service. De CVSS 4.0-score is 7,5 (hoog), met aanvalsroute via het netwerk en hoge privileges als vereiste.

CVSS-vector (versie 4.0, basisscore 7,5, bron: CNA)

CVSS:4.0/AV:N/AC:L/AT:P/PR:H/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Zwakheid (CWE)
CWE-502 · Deserialisatie van onbetrouwbare gegevens
Aanvalsroute
Via het netwerk of internet
EPSS, kans op misbruik binnen 30 dagen
0,3%
Aanvalscode openbaar
Nee

Advies van de overheid

Bronnen

Gerelateerde lekken