Als WatchGuard im Dezember die Patches für CVE-2025-14733 veröffentlichte, schränkte der Hersteller ein: Ungepatchte Firebox-Firewalls seien nur dann angreifbar, wenn sie für IKEv2-VPN konfiguriert sind. Zugleich wies das Unternehmen darauf hin, dass Geräte auch nach dem Löschen der anfälligen Konfiguration kompromittiert werden können – nämlich dann, wenn noch ein Branch-Office-VPN zu einem statischen Gateway-Peer eingerichtet ist.
WatchGuard bestätigte außerdem, dass Angreifer die Schwachstelle bereits in freier Wildbahn ausnutzten, und stellte Kompromittierungsindikatoren bereit, mit denen Kunden prüfen können, ob ihre Firebox-Geräte bereits angegriffen wurden.
Die CISA hatte die Lücke im Dezember erstmals in ihren KEV-Katalog aufgenommen und US-Bundesbehörden aufgefordert, ihre Systeme binnen einer Woche abzusichern – wie es die Binding Operational Directive (BOD) 22-01 vorschreibt. Die nun ergänzte Kennzeichnung als von Ransomware-Gruppen genutzte Schwachstelle erhöht den Druck auf Betreiber, die noch nicht aktualisiert haben.
Es ist nicht der erste WatchGuard-Fehler, der die Behörde beschäftigt: Vor zwei Jahren ordnete die CISA das Patchen einer anderen aktiv ausgenutzten Schwachstelle an, CVE-2022-23176, die Firebox- und XTM-Firewalls betraf.
Deutlich näher liegt der Fall CVE-2025-9242: Diese Schwachstelle zur Codeausführung aus der Ferne in Firebox-Firewalls schloss WatchGuard im September 2025, und sie ist nach den vorliegenden Angaben nahezu identisch mit CVE-2025-14733. Einen Monat später stufte die CISA auch diesen Fehler als aktiv ausgenutzt ein; Shadowserver zählte damals mehr als 75.000 angreifbare Firebox-Firewalls.
Die Größenordnung der Angriffsfläche ergibt sich aus der Verbreitung der Produkte: WatchGuard adressiert vor allem kleine und mittelgroße Unternehmen und erreicht über sein Partnernetz mehr als 250.000 Kunden. Dass laut Shadowserver auch neun Monate nach Verfügbarkeit der Korrekturen noch fast 9.000 Systeme ungepatcht am Netz hängen, macht die Lücke für Ransomware-Akteure zu einem lohnenden Einstiegspunkt – zumal für die Ausnutzung keine Anmeldedaten erforderlich sind.
Betreiber betroffener Geräte sollten die von WatchGuard bereitgestellten Fireware-Updates einspielen und mit den veröffentlichten Kompromittierungsindikatoren prüfen, ob ihre Firewalls bereits betroffen sind. Besonders zu beachten ist dabei die vom Hersteller genannte Konstellation mit weiterhin konfiguriertem Branch-Office-VPN zu einem statischen Gateway-Peer.