WatchGuard Firebox : la faille RCE critique est désormais exploitée par des rançongiciels

CISA a confirmé le 10 septembre 2026 que des groupes de rançongiciel exploitent activement une faille critique des pare-feu WatchGuard Firebox, neuf mois après la publication du correctif. L'agence américaine classe la vulnérabilité parmi celles activement exploitées, ce qui déclenche une obligation de correction sous une semaine pour les agences fédérales américaines.

Une exécution de code sans authentification

La faille, référencée CVE-2025-14733, touche le système Fireware OS qui équipe les Firebox, des versions 11.x et 12.x jusqu'aux 2025.1 à 2025.1.3. Elle provient d'une erreur d'écriture hors limites qui permet à un attaquant sans identifiants d'exécuter du code arbitraire sur l'appareil, à condition que celui-ci expose une configuration VPN IKEv2. WatchGuard avait publié un correctif en décembre 2025, et CISA avait ajouté la faille à son catalogue dès ce moment-là ; ce n'est que neuf mois plus tard que l'agence confirme des attaques par rançongiciel documentées. Les groupes responsables n'ont pas été identifiés publiquement.

Des milliers de pare-feu encore vulnérables

Selon les données collectées par Shadowserver, plus de 115 000 pare-feu Firebox exposaient encore la faille en décembre 2025, au moment de la publication du correctif. Neuf mois plus tard, ce nombre est retombé à environ 9 000 — un net progrès, qui laisse malgré tout un parc conséquent d'équipements de périphérie de réseau ouverts à une prise de contrôle à distance.

Pourquoi ces failles réseau restent la porte d'entrée préférée

Ce n'est pas un cas isolé : KLYNLABS a récemment documenté une faille ScreenConnect toujours sans correctif et trois failles MikroTik enchaînées pour prendre le contrôle de routeurs exposés. Le motif se répète : des équipements de périphérie, souvent oubliés des campagnes de correctifs, deviennent le point d'entrée initial d'attaques qui débouchent ensuite sur du chiffrement de données. La fenêtre entre la publication d'un correctif et son exploitation en masse continue de se compter en mois plutôt qu'en semaines, ce qui laisse aux attaquants tout le temps de scanner Internet à la recherche des appareils non mis à jour.

Source : BleepingComputer, citant l'avis WatchGuard PSIRT et le catalogue CISA KEV.