Błąd w procesie iked zapór WatchGuard Firebox (CVE-2025-14733) pozwala przejąć urządzenie bez logowania. CISA potwierdza ataki ransomware i dała 7 dni na naprawę. Zaktualizuj Fireware OS i sprawdź ślady włamania.
Ten alert jest dla zarządu, CTO i CFO firm, które chronią sieć zaporami WatchGuard Firebox i łączą przez nie oddziały lub pracowników zdalnych. Werdykt: jeśli zapora działa na Fireware OS starszym niż 2025.1.4, 12.11.6, 12.5.15 (T15/T35) lub 12.3.1+728352 (FIPS), zaktualizuj ją dziś i sprawdź ślady włamania, bo luka pozwala przejąć urządzenie bez logowania, a CISA potwierdza jej użycie w atakach ransomware.
Amerykańska agencja CISA 19 grudnia 2025 roku, w dniu publikacji błędu, dopisała podatność CVE-2025-14733 do katalogu KEV, czyli listy luk, o których ma dowody, że są wykorzystywane w prawdziwych atakach. Błąd siedzi w procesie iked systemu Fireware OS, który obsługuje zestawianie połączeń VPN przed jakimkolwiek logowaniem. Napastnik z internetu, bez konta i hasła, może zapisać dane poza przeznaczonym obszarem pamięci i uruchomić własny kod na zaporze.
CISA dała na naprawę tylko 7 dni (zwykle 21) i dopisała, że po aktualizacji trzeba sprawdzić ślady włamania na wszystkich urządzeniach dostępnych z internetu. Oznaczyła też lukę jako używaną w kampaniach ransomware. Termin minął 26 grudnia 2025 roku.
Element | Szczegóły |
|---|---|
Identyfikator CVE | CVE-2025-14733 (biuletyn producenta WGSA-2025-00027) |
Data dodania do CISA KEV | 2025-12-19 |
Termin naprawy wg CISA | 2025-12-26 (7 dni od wpisu) |
Produkt | WatchGuard Firebox, system Fireware OS, proces iked (IKEv2) |
Wersje zagrożone | Fireware OS 2025.1 do 2025.1.3; 12.0 do wersji niższej niż 12.11.6; 11.10.2 do 11.12.4+541730; T15/T35: 12.0 do niższej niż 12.5.15; FIPS: 12.0 do niższej niż 12.3.1+728352. Warunek: skonfigurowany Mobile VPN z IKEv2 lub Branch Office VPN z IKEv2 do bramy o zmiennym adresie. Zapora pozostaje podatna także po usunięciu tych konfiguracji, jeśli ma Branch Office VPN do bramy o stałym adresie |
Wersje bezpieczne | 2025.1.4, 12.11.6, 12.5.15 (T15/T35), 12.3.1+728352 (FIPS) lub nowsze. Dla gałęzi 11.x producent nie wskazuje w zestawieniu konkretnego wydania z poprawką. W sierpniu 2026 roku producent opublikował kolejne poprawki procesu iked (m.in. 2026.3.1, 2026.2.2, 12.12.2, a dla T15/T35 12.5.20), więc warto od razu wgrać najnowsze wydanie dla swojej gałęzi |
Typ podatności | Zapis poza granicami bufora prowadzący do wykonania dowolnego kodu bez uwierzytelnienia; CWE-787 |
Ocena CVSS | NVD: 9.8 (CVSS 3.1, KRYTYCZNA). Producent: 9.3 (CVSS 4.0, KRYTYCZNA). Atak przez sieć, niska złożoność, bez uprawnień i bez udziału użytkownika, pełny wpływ na poufność, integralność i dostępność |
Wyobraź sobie wartownię przy bramie zakładu, gdzie kierowca przed wjazdem wypełnia formularz z rubrykami o stałej szerokości. Ktoś wpisuje w rubrykę „numer rejestracyjny” napis tak długi, że wychodzi poza nią i nachodzi na pole „polecenie dla wartownika”. Wartownik czyta całość i wykonuje to, co przypadkiem znalazło się w polu polecenia, zanim w ogóle sprawdził czyjąkolwiek przepustkę.
Tak działa ten błąd. Zanim zapora wpuści pracownika przez VPN, oba końce połączenia muszą uzgodnić sposób szyfrowania. Tę rozmowę prowadzi proces iked i odbywa się ona przed logowaniem. Spreparowana wiadomość sprawia, że dane wychodzą poza przeznaczony obszar pamięci i nadpisują miejsce, w którym zapora trzyma wskazówki, co robić dalej. Napastnik przejmuje urządzenie, przez które przechodzi cały ruch firmy.
💡 Firebox to zapora sieciowa (firewall) firmy WatchGuard, a Fireware OS to jej system. IKEv2 to protokół, którym dwa urządzenia uzgadniają szyfrowanie tunelu VPN. Mobile VPN łączy pracowników zdalnych, a Branch Office VPN łączy oddziały. Zapis poza buforem to zapis danych w pamięci należącej do czegoś innego. KEV to katalog CISA z lukami potwierdzonymi jako wykorzystywane w atakach.
Scenariusz | Normalnie | Z podatnością |
|---|---|---|
Obca osoba łączy się z portem VPN zapory | Rozmowa kończy się odmową bez prawidłowych danych | Spreparowana wiadomość uruchamia kod napastnika na zaporze |
Wyłączenie VPN dla pracowników „do czasu aktualizacji” | Zmniejsza ryzyko | Nie wystarcza, jeśli jest tunel do oddziału o stałym adresie |
Porównanie wersji z komunikatem | Jeden numer dla wszystkich | Każda gałąź i model (T15/T35, FIPS) ma inny próg |
Aktualizacja zapory | Zamyka sprawę | Zamyka lukę, ale nie usuwa śladów wcześniejszego włamania |
Ruch firmowy | Kontrolowany przez zaporę | Przechodzi przez urządzenie w rękach napastnika |
źródło: Pexels, Brett SaylesPoniżej typowy przebieg ataku dla tej klasy podatności. To scenariusz poglądowy, a nie odtworzenie konkretnego incydentu. Port VPN zapory jest z założenia dostępny z internetu, atak nie wymaga konta ani udziału pracownika, a CISA ocenia go jako możliwy do zautomatyzowania.
Etap | Czas | Akcja hakerów | Wynik |
|---|---|---|---|
1. Skanowanie | T+0 min | Automatyczne wyszukiwanie zapór Firebox z usługą IKEv2 | Lista potencjalnych celów |
2. Przejęcie zapory | T+minuty | Wysłanie spreparowanej wiadomości do procesu iked | Kod napastnika działa na zaporze |
3. Utrwalenie | T+godziny | Dodanie kont administracyjnych, zmiana reguł, własne tunele | Stały dostęp, także po restarcie |
4. Rozpoznanie sieci | T+1 do 3 dni | Przegląd serwerów, oddziałów i kopii zapasowych widocznych zza zapory | Mapa najcenniejszych zasobów |
5. Kradzież danych | T+3 do 14 dni | Kopiowanie danych przez przejętą zaporę | Dane poza firmą |
6. Ransomware | T+1 do 4 tygodni | Szyfrowanie serwerów i żądanie okupu (CISA: luka znana z kampanii ransomware) | Przestój i szantaż |
Zapora zna adresy wszystkich urządzeń, przepuszcza ruch do systemów produkcyjnych i trzyma konfigurację tuneli do oddziałów. Kto ją przejmie, nie musi włamywać się dalej, bo siedzi na trasie, którą przechodzi wszystko. Skrócony do 7 dni termin i zalecenie szukania śladów włamania to wyraźny sygnał, że ataki się udawały.
Obszar biznesu | Potencjalny wpływ | Czas do wystąpienia | Koszty szacunkowe |
|---|---|---|---|
Operacyjny | Zaszyfrowane serwery, zerwane połączenia z oddziałami, zatrzymana produkcja i sprzedaż | Dni do tygodni od przejęcia | 50 tys. do 500 tys. PLN (przestój, odtwarzanie) |
Bezpieczeństwo danych | Wyciek danych klientów, umów, danych kadrowych; podsłuch ruchu przez zaporę | Dni | 30 tys. do 250 tys. PLN (analiza powłamaniowa) |
Finansowy | Okup, wymiana lub przeinstalowanie zapory, zewnętrzni specjaliści | Tygodnie | 100 tys. do 1 mln PLN łącznie |
Reputacyjny | Utrata zaufania klientów i partnerów, pytania ubezpieczyciela | Miesiące | 50 tys. do 500 tys. PLN (utracone kontrakty) |
Prawny | Obowiązek zgłoszenia naruszenia do UODO w ciągu 72 godzin, a przy wysokim ryzyku także powiadomienia osób; możliwa kara RODO do 20 mln EUR lub 4% rocznego obrotu, zależnie od okoliczności | 72 godziny od wykrycia | 20 tys. do 150 tys. PLN (prawnicy, obsługa zgłoszeń), bez ewentualnej kary |
Mogę Ci jakoś pomóc?
Kwoty są orientacyjnymi widełkami dla małej i średniej firmy, nie danymi z tego incydentu.
Macierz ryzyka dla firmy z zaporą Firebox bez poprawki
i skonfigurowanym VPN z IKEv2
Wpływ
5 | . . . . ■ ← KRYTYCZNE
4 | . . . . .
3 | . . . . .
2 | . . . . .
1 | . . . . .
+--------------------
1 2 3 4 5 Prawdopodobieństwo Interpretacja: wpływ i prawdopodobieństwo są maksymalne (przejęcie zapory bez logowania, atak automatyzowalny, potwierdzone użycie w ransomware, EPSS około 26% przy percentylu 97); zapora bez żadnej konfiguracji VPN z IKEv2 jest poza zasięgiem tej luki.
Lp. | Priorytet | Działanie | Termin | Odpowiedzialny |
|---|---|---|---|---|
1 | 🔴 NATYCHMIAST | Spisać wszystkie zapory Firebox: model (w tym T15/T35 i FIPS), gałąź i wersję Fireware OS | Dziś | Administrator zapory |
2 | 🔴 NATYCHMIAST | Zaktualizować do wersji z poprawką dla swojej gałęzi, najlepiej od razu do najnowszego wydania | Dziś | Administrator zapory / partner IT |
3 | 🔴 NATYCHMIAST | Po aktualizacji sprawdzić ślady włamania: konta administracyjne, konfigurację tuneli, reguły ruchu wychodzącego, logowania administracyjne w nietypowych godzinach | Dziś | Administrator zapory |
4 | 🟠 PILNIE | Jeśli wykryto nieznane konta lub zmiany: odizolować zaporę, zmienić wszystkie hasła i klucze VPN, wezwać zespół reagowania na incydenty | Do 24 godzin | CTO |
5 | 🟠 PILNIE | Zapory na gałęzi 11.x bez wskazanej poprawki: zaplanować wymianę sprzętu lub przejście na wspieraną wersję | Do 7 dni | CTO |
6 | 🟠 PILNIE | Zmienić hasła administratorów i klucze współdzielone tuneli VPN, jeśli zapora była podatna przez dłuższy czas | Do 7 dni | Administrator zapory |
7 | 🟡 WAŻNIE | Wprowadzić stały przegląd biuletynów WatchGuard PSIRT (kolejne poprawki iked pojawiły się w sierpniu 2026) | Do 30 dni | CTO |
Producent wydał poprawki dla gałęzi 2025.1, 12.x, T15/T35 i FIPS. Opis podatności wyraźnie zastrzega, że usunięcie konfiguracji Mobile VPN i Branch Office VPN z IKEv2 do bram o zmiennym adresie nie wystarcza, jeśli pozostaje tunel do bramy o stałym adresie. Nie udało się zweryfikować obejść opisanych bezpośrednio w biuletynie producenta, więc jedyną pewną drogą jest aktualizacja. Oceny efektywności poniżej to ocena ekspercka.
Czasowa miara ochronna | Efektywność | Łatwość wdrożenia |
|---|---|---|
Usunięcie wszystkich konfiguracji VPN opartych na IKEv2, łącznie z tunelami do bram o stałym adresie | Średnia do wysokiej, ale odcina pracę zdalną i oddziały | Łatwa technicznie, bardzo kosztowna biznesowo |
Ograniczenie ruchu IKE na zaporze tylko do znanych adresów oddziałów | Średnia: nie chroni przed atakiem z tych adresów ani przy zmiennych adresach | Średnia |
Wymiana zapory na wspierany model | Wysoka | Trudna: zakup i wdrożenie |
Wzmożony przegląd logów i kont administracyjnych | Niska jako ochrona, przydatna do wykrycia włamania | Łatwa |
Stan | Przed działaniem | Po działaniu |
|---|---|---|
Zapora | Możliwe przejęcie bez logowania | Wersja z poprawką dla właściwej gałęzi i modelu |
Wiedza o włamaniu | Założenie, że aktualizacja „cofa wszystko” | Sprawdzone konta, tunele, reguły i logowania |
Hasła i klucze VPN | Te same od lat | Zmienione po okresie podatności |
Stare zapory 11.x | Pracują bez wskazanej poprawki | Wymienione lub w planie wymiany |
Zgodność z wymogami | Prawie 9 miesięcy po terminie CISA (wiąże agencje USA, ale jest dobrym punktem odniesienia) | Luka zamknięta i udokumentowana |
Aspekt | Informacja |
|---|---|
Czy jest wykorzystywana? | TAK (potwierdzone przez CISA). Ocena CISA: wykorzystanie aktywne, atak możliwy do zautomatyzowania, wpływ techniczny pełny |
Grupy przestępcze | Brak publicznych informacji o nazwach grup |
Kampanie ransomware | TAK (CISA KEV: Known), bez wskazania konkretnych kampanii |
Ocena CVSS | 9.8 KRYTYCZNA wg NVD (CVSS 3.1); 9.3 KRYTYCZNA wg producenta (CVSS 4.0), z najwyższym stopniem pilności producenta |
PoC dostępny publicznie? | Brak publicznych informacji |
Liczba atakowanych firm | Brak publicznych informacji |
Termin CISA | 7 dni zamiast typowych 21, z nakazem sprawdzenia śladów włamania po aktualizacji |
Prognoza EPSS | ok. 26% szansy próby wykorzystania w 30 dni, wyżej niż 97% znanych podatności, sierpień 2026 (wg analizy źródłowej) |
Sygnały zagrożenia dla CVE-2025-14733
CVSS 3.1 (NVD) 9.8/10 ████████████████████ KRYTYCZNA
CVSS 4.0 (producent) 9.3/10 ███████████████████░ KRYTYCZNA
EPSS (próba w 30 dni) ~26% █████░░░░░░░░░░░░░░░ percentyl 97
CISA KEV TAK ████████████████████ ataki potwierdzone
Ransomware (CISA) Known ████████████████████ używana
Termin CISA 7 dni ████████████████████ tryb pilny 2025-12-19 Producent publikuje WGSA-2025-00027, publikacja CVE w NVD
2025-12-19 CISA dodaje lukę do katalogu KEV (termin 7 dni)
2025-12-26 Termin naprawy wg CISA dla agencji federalnych
2026-08-10 Ostatnia aktualizacja biuletynu producenta
2026-08-27 Producent publikuje kolejne poprawki procesu iked
2026-09-09 Ostatnia aktualizacja wpisu w NVD
... prawie 9 miesięcy od terminu CISA
2026-09-17: TUTAJ JESTEŚMY Oficjalny biuletyn producenta: watchguard.com: WGSA-2025-00027 . Wpis w NVD: nvd.nist.gov/vuln/detail/CVE-2025-14733 .
Lp. | Zadanie | Kto | Deadline |
|---|---|---|---|
1 | Potwierdzić, ile zapór WatchGuard ma firma i jakie to modele | CTO | DZISIAJ |
2 | Uzyskać pisemną informację o wersji Fireware OS każdej zapory | CTO | DZISIAJ |
3 | Zatwierdzić natychmiastową aktualizację, także poza godzinami pracy | CTO | DZISIAJ |
4 | Zlecić sprawdzenie śladów włamania po aktualizacji | CTO | DZISIAJ |
5 | Zarezerwować budżet na analizę powłamaniową i ewentualną wymianę starych zapór | CFO | DO JUTRA |
6 | Sprawdzić, czy wsparcie producenta i licencje obejmują aktualizacje dla wszystkich zapór | CFO | DO JUTRA |
7 | Sprawdzić warunki polisy cyberubezpieczenia dotyczące ransomware i nienaprawionych luk | CFO | DO JUTRA |
Mogę Ci jakoś pomóc?
# | Pytanie | Odpowiedź | Priorytet |
|---|---|---|---|
1 | Jaki model i jaką wersję Fireware OS ma każda nasza zapora? | [model / wersja] | 🔴 |
2 | Czy mamy skonfigurowany Mobile VPN z IKEv2 lub Branch Office VPN (do bram o zmiennym lub stałym adresie)? | TAK / NIE | 🔴 |
3 | Kiedy zainstalowano poprawkę dla CVE-2025-14733? | [data] | 🔴 |
4 | Czy po aktualizacji sprawdzono konta administracyjne, tunele i reguły pod kątem nieznanych zmian? | TAK / NIE | 🔴 |
5 | Czy mamy zapory na gałęzi 11.x? | TAK / NIE | 🟠 |
6 | Czy zainstalowano poprawki iked z sierpnia 2026 roku? | TAK / NIE | 🟠 |
7 | Kiedy ostatnio zmieniono hasła administratorów i klucze tuneli VPN? | [data] | 🟡 |
CVE-2025-14733 pozwala przejąć zaporę WatchGuard Firebox bez logowania, a CISA potwierdza jej użycie w atakach ransomware i skróciła termin naprawy do 7 dni. Aktualizacja do wersji właściwej dla modelu i gałęzi, a potem sprawdzenie kont, tuneli i reguł pod kątem śladów włamania to zadania na dziś.
Mogę Ci jakoś pomóc?
Zestaw zmienia się codziennie, więc przy kolejnej wizycie zobaczysz inny wycinek bloga.
Luka w N-able N-central pozwala bez logowania uruchomić kod na serwerze, z którego zarządza się komputerami wielu firm. CISA potwierdza ataki. Zaktualizuj do 2026.3.1.14, odetnij konsolę od internetu i sprawdź konta.
Czytaj artykułBłąd w bibliotece Starlette, podstawie FastAPI, pozwala omijać zabezpieczenia części aplikacji, a w łańcuchu z luką LiteLLM przejąć bramkę AI. CISA potwierdza ataki. Zaktualizuj do 1.0.1 lub nowszej.
Czytaj artykułLuka o ocenie 10.0 w SonicWall SMA1000 daje dostęp do funkcji urządzenia bez logowania, a z CVE-2026-83549 pozwala je przejąć. SonicWall i CISA potwierdzają ataki. Zainstaluj hotfix i sprawdź urządzenie.
Czytaj artykułKrótka rozmowa wystarczy, żeby ocenić zakres prac i podać widełki kosztu. Bez zobowiązań.
Klikając „Akceptuję”, zgadzasz się na przechowywanie plików cookie przez UXU w celu poprawy działania strony, analizy i wsparcia działań marketingowych.