Der Netzwerksicherheitsanbieter WatchGuard hat ein umfangreiches Patch-Paket veröffentlicht, das über zwei Dutzend Schwachstellen in Fireware OS und in der Management-Plattform Dimension beseitigt. Fünf der Fehler gelten als kritisch und führen zu Remote-Code-Execution beziehungsweise zur Übernahme eines Kontos.
Drei der kritischen Probleme betreffen den iked-Prozess von Fireware OS. Dabei handelt es sich um den zentralen Internet-Key-Exchange-Daemon, der die kryptografische Schlüsselaushandlung abwickelt und IPsec-VPN-Verhandlungen über die Protokolle IKEv1 und IKEv2 steuert. Konkret geht es um einen Heap-Pufferüberlauf (CVE-2026-19313), einen stapelbasierten Pufferüberlauf (CVE-2026-19318) und eine Typverwechslung (CVE-2026-19315). Alle drei sind ohne vorherige Authentifizierung angreifbar. Laut WatchGuard genügt speziell präparierter Netzwerkverkehr, um die Fehler auszulösen und Code aus der Ferne auszuführen.
Eine vierte kritische Lücke steckt im Dienst Endpoint Protection Manager (epm): Der stapelbasierte Pufferüberlauf CVE-2026-13086 kann ebenfalls zur Codeausführung führen. Betroffen ist der Dienst über die inzwischen abgekündigte Funktion Mobile Security in Fireware OS.
Die fünfte kritische Schwachstelle liegt in WatchGuard Dimension. Über CVE-2026-78174 können Administratoren mit niedrigen Rechten die Sitzungskennung sowie die CSRF-Tokens eines Super-Admins auslesen und auf diesem Weg dessen Konto übernehmen.
Alle fünf Sicherheitslücken sind mit einem CVSS-Wert von 9.3 bewertet. Die Fehlerbehebungen sind in den Fireware-OS-Versionen 2026.2.2, 12.12.2 und 12.5.20 sowie in Dimension 2.3.1 enthalten.
Darüber hinaus schließen die Aktualisierungen sieben als hoch eingestufte Schwachstellen in Fireware OS, die zu Denial-of-Service führen können; sechs davon betreffen erneut den iked-Prozess. In Dimension kommen fünf weitere hochstufige Fehler hinzu, die die Ausführung beliebiger Befehle, die Manipulation der Passphrase des globalen Administrators sowie Denial-of-Service ermöglichen.
Hinzu kommen Korrekturen für elf Schwachstellen mittleren Schweregrads – eine im iked-Prozess von Fireware OS, zehn in Dimension.
WatchGuard erklärt, dem Unternehmen seien keine Fälle bekannt, in denen eine der behobenen Schwachstellen aktiv ausgenutzt wurde. Weitere Einzelheiten führt der Hersteller auf seiner Seite mit den Sicherheitshinweisen auf.