CVE-2026-86131 touche WatchGuard Fireware OS, le système des pare-feux Firebox. Publiée par NVD le 30 septembre 2026, notée 9.8. Elle porte sur une fonction précise : la configuration client du BOVPN over TLS, le tunnel site à site encapsulé dans TLS.
| Champ | Valeur |
|---|---|
| CVSS 3.1 | 9.8 (CRITICAL) |
| Vecteur | AV:N/AC:L/PR:N/UI:N/S:U/C:H/I:H/A:H |
| Publication NVD | 2026-09-30 |
| CISA KEV | non (à la date de rédaction) |
Ce que fait la faille
allows an attacker who controls the remote VPN server to execute arbitrary commands as root on the connecting Firebox.
Le sens de l'attaque est inhabituel. Ici, ce n'est pas un client qui attaque le pare-feu : c'est le serveur VPN distant auquel la Firebox se connecte en tant que cliente. Si ce serveur est malveillant ou compromis, il peut faire exécuter des commandes en root sur la Firebox qui s'y connecte, via une injection de code dans le traitement de la configuration client.
Pourquoi c'est grave malgré la condition :
- La confiance est transitive. Un tunnel BOVPN relie souvent ton site à celui d'un partenaire, d'une filiale, d'un prestataire ou d'un site distant moins bien protégé. Compromettre l'extrémité la plus faible donne la main sur l'autre.
- Root sur un pare-feu, c'est le contrôle du trafic, des règles, des tunnels et des secrets VPN stockés sur l'équipement.
- La Firebox ne se méfie pas de ce que lui renvoie un pair qu'elle a elle-même configuré comme légitime.
Si aucune de tes Firebox n'est configurée en client BOVPN over TLS, cette voie d'attaque ne te concerne pas. Mais mets à jour quand même : une configuration peut changer.
Versions
NVD liste les bornes suivantes pour Fireware OS :
| Branche | Borne NVD |
|---|---|
| 12.5 | 12.5.21 |
| 12.12 | 12.12.3 |
| 2026.2 | 2026.2.3 |
| 2026.3 | 2026.3.2 |
Ce sont des bornes NVD, pas nécessairement les versions de correction. L'avis de sécurité WatchGuard (PSIRT) donne la version à installer pour chaque branche.
Suis-je concerné ?
- Lister les tunnels BOVPN over TLS sur chaque Firebox, et repérer celles qui jouent le rôle de client.
- Identifier qui opère le serveur distant : toi, une autre entité de ton groupe, un tiers ?
- Évaluer le niveau de confiance réel de ce serveur — patché, surveillé, administré par qui ?
Détection
- Journaux de la Firebox : redémarrages, changements de configuration ou de comptes non planifiés, en particulier juste après l'établissement d'un tunnel BOVPN over TLS
- Règles de pare-feu ou tunnels ajoutés sans changement documenté — compare avec ta dernière sauvegarde de configuration
- Trafic sortant inhabituel depuis l'adresse de gestion de la Firebox
- Côté serveur distant : tout signe de compromission doit déclencher une revue des Firebox qui s'y connectent
Mitigation
- Mettre à jour Fireware OS vers la version corrigée indiquée par WatchGuard pour ta branche.
- En attendant, désactiver les tunnels BOVPN over TLS en mode client vers des serveurs que tu ne maîtrises pas, ou les basculer vers un autre type de tunnel si l'avis WatchGuard le recommande.
- Restreindre l'interface de gestion de la Firebox aux réseaux d'administration.
- Vérifier l'intégrité de la configuration de chaque Firebox cliente par rapport à une sauvegarde antérieure.
- En cas de doute : faire tourner les clés et secrets VPN de la Firebox et les identifiants d'administration, et suivre les recommandations de l'avis éditeur.
Pourquoi surveiller vos pare-feux en continu
Un pare-feu est censé être la frontière. Quand une CVE 9.8 permet à un pair VPN de le prendre en root, la question n'est plus seulement ce qui est exposé à Internet, mais à qui tu fais confiance de l'autre côté du tunnel.
Avec cveo.tech, inventorie tes pare-feux avec leur version exacte, et reçois une alerte dès qu'une CVE critique les concerne.