WatchGuard Firebox : la faille RCE critique est désormais exploitée par des rançongiciels
CISA confirme l'exploitation active de CVE-2025-14733, corrigée depuis décembre mais encore ouverte sur des milliers de pare-feu
Photo : FlyD / Unsplash
CISA a confirmé le 10 septembre 2026 que des groupes de rançongiciel exploitent activement une faille critique des pare-feu WatchGuard Firebox, neuf mois après la publication du correctif. L'agence américaine classe la vulnérabilité parmi celles activement exploitées, ce qui déclenche une obligation de correction sous une semaine pour les agences fédérales américaines.
Une exécution de code sans authentification
La faille, référencée CVE-2025-14733, touche le système Fireware OS qui équipe les Firebox, des versions 11.x et 12.x jusqu'aux 2025.1 à 2025.1.3. Elle provient d'une erreur d'écriture hors limites qui permet à un attaquant sans identifiants d'exécuter du code arbitraire sur l'appareil, à condition que celui-ci expose une configuration VPN IKEv2. WatchGuard avait publié un correctif en décembre 2025, et CISA avait ajouté la faille à son catalogue dès ce moment-là ; ce n'est que neuf mois plus tard que l'agence confirme des attaques par rançongiciel documentées. Les groupes responsables n'ont pas été identifiés publiquement.
Des milliers de pare-feu encore vulnérables
Selon les données collectées par Shadowserver, plus de 115 000 pare-feu Firebox exposaient encore la faille en décembre 2025, au moment de la publication du correctif. Neuf mois plus tard, ce nombre est retombé à environ 9 000 — un net progrès, qui laisse malgré tout un parc conséquent d'équipements de périphérie de réseau ouverts à une prise de contrôle à distance.
Pourquoi ces failles réseau restent la porte d'entrée préférée
Ce n'est pas un cas isolé : KLYNLABS a récemment documenté une faille ScreenConnect toujours sans correctif et trois failles MikroTik enchaînées pour prendre le contrôle de routeurs exposés. Le motif se répète : des équipements de périphérie, souvent oubliés des campagnes de correctifs, deviennent le point d'entrée initial d'attaques qui débouchent ensuite sur du chiffrement de données. La fenêtre entre la publication d'un correctif et son exploitation en masse continue de se compter en mois plutôt qu'en semaines, ce qui laisse aux attaquants tout le temps de scanner Internet à la recherche des appareils non mis à jour.
Source : BleepingComputer, citant l'avis WatchGuard PSIRT et le catalogue CISA KEV.
À lire ensuite
Le phishing « passkey » qui vide des comptes Microsoft 365 ne casse aucune clé d'accès
Une campagne de phishing active depuis mai 2026 pousse des employés vers de faux portails Microsoft sous prétexte de mettre à jour leur passkey. Le passkey n'est jamais réellement attaqué : c'est un prétexte pour rediriger la victime vers un flux d'authentification, lui, réellement piégeable.
Kelvyn2 min de lecture
Des failles JFrog Artifactory enchaînées pour créer des comptes administrateur en moins de cinq minutes
Deux vulnérabilités JFrog Artifactory, enchaînées, permettent d'obtenir un accès administrateur en quelques minutes sur des instances auto-hébergées non corrigées. Wiz confirme une exploitation active depuis la mi-août, avec le déploiement d'une porte dérobée sur mesure.
Kelvyn2 min de lecture
Une faille GitLab notée 10 sur 10 permet de lire des fichiers arbitraires en une seule requête
GitLab corrige une faille de sévérité maximale permettant à un attaquant non authentifié de lire des fichiers arbitraires sur un serveur vulnérable. La société watchTowr observe déjà des tentatives de sondage, sans preuve de compromission réussie à ce stade.
Kelvyn2 min de lecture