Fireware OSのWireGuard処理に重大な脆弱性、修正版あり
WatchGuardのFirebox用OS、Fireware OSに、クラウドから届く設定の処理で機器を停止させ、コードを実行されるおそれのある脆弱性が見つかりました。2026.2系と12.12系を使い、WatchGuard Cloudと連携している組織が対象です。使っている系統の修正版へ、計画を立てて早めに更新してください。
急ぎ度: 早めに
CVSS v4が9.5で重大度はcriticalですが、悪用にはFireboxとWatchGuard Cloudの通信に割り込む位置が必要で、修正版も出ているため、緊急停止まではせず早めの更新が妥当です。
関係があるか
WatchGuardのFireboxでFireware OSの2026.2系か12.12系を動かし、WatchGuard Cloudと連携して使っている組織が対象です。FireCloud Gatewayの設定をクラウドから受け取る構成は、とくに確認が必要です。
| 製品 | 影響を受ける版 | 直った版 |
|---|---|---|
| WatchGuard Fireware OS（2026系） | 2026.2以上、2026.4未満 | 2026.4 |
| WatchGuard Fireware OS（12.12系） | 12.12以上、12.12.4未満 | 12.12.4 |
確かめ方
- 1Fireboxの管理画面（Fireware Web UI）、またはWatchGuard Cloudの機器一覧で、各Fireboxで動いているFireware OSの版を確認する。
- 2版が2026.2以上2026.4未満、または12.12以上12.12.4未満なら対象。複数台あるときは、拠点ごとに台帳へ書き出して漏れを防ぐ。
- 3FireboxがWatchGuard Cloudと連携しているか、FireCloud Gatewayを設定しているかを確認する。
- 4FireboxとWatchGuard Cloudの間に、TLSを復号して中身を見るプロキシや検査装置がないかを、ネットワーク構成図で確認する。
何が起きたか
Fireware OSがWatchGuard Cloudから受け取るFireCloud Gatewayの設定を処理するときに、メモリが壊れる脆弱性が見つかりました。悪用されると、Fireboxが停止するだけでなく、任意のコードを実行されるおそれがあります。
原因は、WireGuardの設定を処理する部分で起きるスタックバッファオーバーフローです。弱点の種類としては、スタック上のバッファ溢れ（CWE-121）、範囲外への書き込み（CWE-787）、入力値の長さや量の検証不備（CWE-1284）が挙げられています。
WatchGuardは2026年10月27日に告知を公表し、修正版の2026.4と12.12.4を案内しています。
攻撃の流れ
-
1
通信経路に割り込む
FireboxとWatchGuard Cloudの間の通信に、第三者が入り込める位置を確保する。
-
2
TLSを復号する
その通信のTLSを復号し、中身の設定データを読み書きできる状態になる。
-
3
設定データを改ざん
FireCloud Gatewayの設定データを書き換え、Fireboxへ届ける。
-
4
メモリが壊れる
WireGuard設定の処理でスタック上のメモリが壊れ、機器の停止やコード実行につながる。
どう悪用されるか
悪用に認証は要らず、利用者の操作も不要です。ネットワーク経由で成立しますが、条件が一つあります。FireboxとWatchGuard Cloudの間の通信に割り込み、TLSを復号した状態で中身を扱える位置にいることです。インターネット上のだれもが直接攻撃できる脆弱性ではありません。
この位置を押さえられた場合、改ざんされた設定データによって、Fireboxの停止（サービス拒否）や、任意のコード実行が起こりえます。Fireboxは社内ネットワークの境界に置かれるため、機器が乗っ取られれば、通過する通信の閲覧や内部への足がかりにされるおそれがあります。
今すぐやること
-
1
対象のFireboxを洗い出す
Fireware OSの版を全台で確認し、2026.2以上2026.4未満、または12.12以上12.12.4未満の機器を一覧にする。WatchGuard Cloudと連携している機器を優先する。
-
2
修正版に更新する
使っている系統の修正版へ更新する。更新前に設定のバックアップを取り、再起動を伴う場合に備えて、業務への影響が小さい時間帯に実施する。冗長構成なら、1台ずつ順に更新する。
-
3
更新後に版と動作を確かめる
更新後にFireware OSの版が修正版になっていることを確認し、WatchGuard Cloudとの連携とWireGuardを使うVPNの接続が正常かを見る。
-
4
通信経路を見直す
FireboxとWatchGuard Cloudの間でTLSを復号している装置がないかを確認する。必要がなければ、この通信を復号の対象から外す。
-
5
ベンダーの告知を継続して確認する
WatchGuardのPSIRTの告知は、更新されることがある。対象の版や回避策に変更がないか、更新作業の前に見ておく。
すぐ更新できないとき
ベンダーが公式の回避策を案内しているかは、告知で確認してください。以下は公式のものではなく、修正版をすぐ当てられないときの一時的なリスク低減策です。FireboxとWatchGuard Cloudの間の通信経路を見直し、TLSを復号する装置や、信頼できない中継点がないようにします。割り込める位置を第三者に与えないことが、条件を満たさせない一番の手段です。
背景
Fireboxは、WatchGuardが提供するネットワーク境界のセキュリティ機器です。Fireware OSはその制御を担い、ファイアウォールやVPNの処理を動かしています。WatchGuard Cloudからは、拠点の機器の設定や監視をまとめて行えます。今回の脆弱性は、そのクラウドから機器へ設定を届ける経路に関わっています。
クラウドから届く設定は、機器にとって信頼する相手からの入力です。そのため、受け取った設定を処理する部分のメモリ管理の不備は、外部からの入力を扱う窓口ほど厳しく点検されにくい面があります。今回はWireGuardの設定を読み込む処理で、入力の大きさの検証が足りなかったことが、バッファオーバーフローにつながったとみられます。
よくある質問
Q.2026系と12.12系のどちらの修正版に更新すればよいですか。
まだ分かっていないこと
- 実際の攻撃で悪用されているかどうかは、公表されていません。
- FireCloud Gatewayを使っていない構成や、WireGuardを使っていない構成でも影響を受けるかどうかは、公表されていません。
- 告知に挙がった2系統より前の版が影響を受けるかどうかは、公表されていません。詳細はWatchGuardのPSIRTの告知で確認してください。
この記事は、取得元の公開情報をもとに生成 AI で作成しています。誤りを含むことがあります。対応を決める前に、下の原文と参照先を確認してください。
影響パッケージ
| 種類 | パッケージ | 影響を受ける版 | 直った版 |
|---|---|---|---|
| WatchGuard | Fireware OS |
2026.2 以上 2026.4 未満 12.12 以上 12.12.4 未満 |
2026.4 12.12.4 |
原文の説明 取得元が公開している説明をそのまま載せています (多くは英語)。
A stack-based buffer overflow vulnerability in Fireware OS's WireGuard configuration processing allows a remote attacker that has man-in-the-middle TLS-decrypted access between the Firebox and WatchGuard Cloud to create a Denial of Service condition and potentially execute arbitrary code by tampering with a FireCloud Gateway configuration payload.
出典: CVE.org (CVE Program・cvelistV5) NVD GitHub Advisory
参照URL
- web psirt.watchguard.com
- web nvd.nist.gov
- web github.com