# WatchGuard Firebox : la faille RCE critique est désormais exploitée par des rançongiciels

> CISA confirme l'exploitation active de CVE-2025-14733, corrigée depuis décembre mais encore ouverte sur des milliers de pare-feu

- Source : KLYNLABS (https://klynlabs.eu)
- URL : https://klynlabs.eu/articles/watchguard-firebox-faille-rce-exploitee-rancongiciels
- Auteur : Kelvyn
- Publié le : 10 septembre 2026 (2026-09-10T09:47:00.000Z)
- Rubrique : Cybersécurité
- Sujets : Vulnérabilité, CISA, Ransomware, WatchGuard
- Langue : français

CISA a confirmé le 10 septembre 2026 que des groupes de rançongiciel exploitent activement une faille critique des pare-feu [WatchGuard Firebox](https://psirt.watchguard.com/CVE-2025-14733/), neuf mois après la publication du correctif. L'agence américaine classe la vulnérabilité parmi celles [activement exploitées](https://www.cisa.gov/known-exploited-vulnerabilities-catalog), ce qui déclenche une obligation de correction sous une semaine pour les agences fédérales américaines.

## Une exécution de code sans authentification

La faille, référencée CVE-2025-14733, touche le système Fireware OS qui équipe les Firebox, des versions 11.x et 12.x jusqu'aux 2025.1 à 2025.1.3. Elle provient d'une erreur d'écriture hors limites qui permet à un attaquant sans identifiants d'exécuter du code arbitraire sur l'appareil, à condition que celui-ci expose une configuration VPN IKEv2. WatchGuard avait publié un correctif en décembre 2025, et CISA avait ajouté la faille à son catalogue dès ce moment-là ; ce n'est que neuf mois plus tard que l'agence confirme des attaques par rançongiciel documentées. Les groupes responsables n'ont pas été identifiés publiquement.

## Des milliers de pare-feu encore vulnérables

Selon les données collectées par Shadowserver, plus de 115 000 pare-feu Firebox exposaient encore la faille en décembre 2025, au moment de la publication du correctif. Neuf mois plus tard, ce nombre est retombé à environ 9 000 — un net progrès, qui laisse malgré tout un parc conséquent d'équipements de périphérie de réseau ouverts à une prise de contrôle à distance.

> Si votre organisation exploite un Firebox avec IKEv2 activé, vérifiez la version de Fireware OS et appliquez le correctif de décembre 2025 sans attendre : la faille est désormais un vecteur de rançongiciel confirmé, pas seulement théorique.

## Pourquoi ces failles réseau restent la porte d'entrée préférée

Ce n'est pas un cas isolé : KLYNLABS a récemment documenté [une faille ScreenConnect toujours sans correctif](https://klynlabs.eu/articles/screenconnect-faille-non-corrigee-clients-detournes-vbscript) et [trois failles MikroTik enchaînées pour prendre le contrôle de routeurs exposés](https://klynlabs.eu/articles/mikrotik-routeros-failles-exploitees-mikrotrick). Le motif se répète : des équipements de périphérie, souvent oubliés des campagnes de correctifs, deviennent le point d'entrée initial d'attaques qui débouchent ensuite sur du chiffrement de données. La fenêtre entre la publication d'un correctif et son exploitation en masse continue de se compter en mois plutôt qu'en semaines, ce qui laisse aux attaquants tout le temps de scanner Internet à la recherche des appareils non mis à jour.

## À retenir

- CVE-2025-14733 permet une exécution de code à distance sans authentification sur les pare-feu WatchGuard Firebox équipés d'IKEv2.
- CISA confirme le 10 septembre 2026 son exploitation par des rançongiciels ; le correctif existe depuis décembre 2025.
- Environ 9 000 appareils restent exposés sur Internet selon Shadowserver, contre plus de 115 000 au moment du correctif.
- Les agences fédérales américaines ont une semaine pour corriger, sous la directive CISA BOD 22-01.

**Source** : [BleepingComputer](https://www.bleepingcomputer.com/news/security/cisa-watchguard-rce-flaw-now-exploited-in-ransomware-attacks/), citant l'avis [WatchGuard PSIRT](https://psirt.watchguard.com/CVE-2025-14733/) et le [catalogue CISA KEV](https://www.cisa.gov/known-exploited-vulnerabilities-catalog).

---

Article publié par KLYNLABS, signé Kelvyn. À citer avec son lien : https://klynlabs.eu/articles/watchguard-firebox-faille-rce-exploitee-rancongiciels