Nieuwsbrief

Elke week de belangrijkste lekken in je mail.

CVE-2026-86131

WatchGuard Fireware OS: code-injectie in BOVPN over TLS-client

Kritiek9,2
Door Jelmer SchoutenBijgewerkt op CVSS 4.0 · bron: CNA

Kerngegevens

Leverancier
WatchGuard
Soort software
firewall
Getroffen versies
WatchGuard Fireware OS vanaf 12.0 tot 12.5.21, vanaf 12.12 tot 12.12.3, vanaf 2025.0 tot 2026.2.3, vanaf 2026.3 tot 2026.3.2
Oplossing
Update beschikbaar
Opgeloste versie
WatchGuard Fireware OS 12.5.21
WatchGuard Fireware OS 12.12.3
WatchGuard Fireware OS 2026.2.3
WatchGuard Fireware OS 2026.3.2
CVE gepubliceerd
30 september 2026
Gepubliceerd op LekkenRadar
6 oktober 2026
Laatst gewijzigd bij NVD
6 oktober 2026
Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail

Simpel uitgelegd

Wat is er aan de hand?

In WatchGuard Fireware OS zit een lek in de manier waarop de Firebox de clientconfiguratie van BOVPN over TLS verwerkt. Door dit lek kan commando's worden ingespoeld die de Firebox vervolgens uitvoert. Wie de server aan de andere kant van de VPN-verbinding beheert, kan zo willekeurige commando's uitvoeren met root-rechten op de Firebox. Het lek heeft een kritieke score van 9,2.

Wie loopt risico?

Je loopt risico als je een Firebox met een getroffen versie van Fireware OS gebruikt die verbinding maakt met een externe VPN-server via BOVPN over TLS. Een aanvaller moet dan de server aan de andere kant van de verbinding in handen hebben. Volgens de gegevens is er op dit moment geen actief misbruik gemeld en is er geen publieke exploit bekend.

Wat moet je doen?

  1. Controleer je Fireware-versie

    Kijk welke versie van Fireware OS op je Firebox draait. Getroffen zijn de reeksen vanaf 12.0 tot 12.5.21, vanaf 12.12 tot 12.12.3, vanaf 2025.0 tot 2026.2.3 en vanaf 2026.3 tot 2026.3.2.

  2. Werk bij naar een opgeloste versie

    Update naar de opgeloste versie die bij jouw reeks hoort: 12.5.21, 12.12.3, 2026.2.3 of 2026.3.2.

  3. Controleer je BOVPN-over-TLS-verbindingen

    Kijk met welke externe VPN-servers je Firebox verbinding maakt via BOVPN over TLS. Beperk dit tot servers die je vertrouwt en zelf beheert, zolang je nog niet bijgewerkt hebt.

  4. Volg het advies van WatchGuard

    Lees het advies van de leverancier op psirt.watchguard.com voor de actuele details. Hetzelfde advies geldt voor een aantal andere meldingen: CVE-2026-86104, CVE-2026-86128, CVE-2026-86132, CVE-2026-86133 en CVE-2026-86136.

  5. Dezelfde update lost meer lekken op

    Dezelfde update verhelpt ook CVE-2026-86104, CVE-2026-86128, CVE-2026-86132, CVE-2026-86133, CVE-2026-86136. Met de update hierboven zijn die ook opgelost.

Deel dit lek

Teams(opent in een nieuw venster)LinkedIn(opent in een nieuw venster)E-mail
Technische detailsBeschrijving, CVSS-vector, EPSS en adviezen

Beschrijving

Het lek is een code-injectie (CWE-94) in de verwerking van de clientconfiguratie voor BOVPN over TLS in Fireware OS. Invoer uit de configuratie die de externe VPN-server aanlevert, wordt niet goed gecontroleerd voordat die wordt uitgevoerd. Een aanvaller die de externe VPN-server beheert, kan hierdoor willekeurige commando's laten uitvoeren als root op de verbindende Firebox. De aanval verloopt via het netwerk, vereist geen voorafgaande inloggegevens en geen handeling van een gebruiker. De CVSS 4.0-score is 9,2, afkomstig van de CNA, en de kans op misbruik (EPSS) is 0,004.

CVSS-vector (versie 4.0, basisscore 9,2, bron: CNA)

CVSS:4.0/AV:N/AC:L/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N/E:X/CR:X/IR:X/AR:X/MAV:X/MAC:X/MAT:X/MPR:X/MUI:X/MVC:X/MVI:X/MVA:X/MSC:X/MSI:X/MSA:X/S:X/AU:X/R:X/V:X/RE:X/U:X
Zwakheid (CWE)
CWE-94 · Code-injectie
Aanvalsroute
Via het netwerk of internet
EPSS, kans op misbruik binnen 30 dagen
0,4%
Aanvalscode openbaar
Nee

Advies van de overheid

Bronnen

Gerelateerde lekken