Correctifs WatchGuard Fireware OS d’octobre 2026 (CVE-2026-103594 et 17 autres failles) : versions à installer

La réponse courte : le 27 octobre 2026, WatchGuard a publié 18 avis de sécurité qui concernent Fireware OS, le système des pare-feu Firebox, ainsi que le client Mobile VPN with SSL pour Windows. Plusieurs failles sont critiques et permettent, dans certaines configurations, une exécution de code à distance sans authentification. Les versions corrigées sont Fireware OS 2026.4, 12.12.4 et 12.5.22 (pour les T15 et T35). WatchGuard n’a connaissance d’aucune exploitation, mais le maCERT de la DGSSI a classé l’ensemble à un niveau de risque critique le 28 octobre.

Le Firebox est le point d’entrée du réseau de nombreuses PME au Maroc : il filtre internet, porte les VPN des télétravailleurs, relie les agences et laisse souvent passer la téléphonie IP. Un pare-feu vulnérable, c’est une porte ouverte sur tout le reste. Cette alerte rassemble ce que disent les sources officielles et les contrôles à faire. Pour le fonctionnement général du boîtier, voir notre guide WatchGuard Firebox pour PME.

Ce qui est touché

Le lot du 27 octobre couvre des composants variés. Les failles les plus sévères, toutes notées critiques par WatchGuard en CVSS v4.0, sont les suivantes :

• CVE-2026-103594 (9.5) : débordement de pile dans le traitement de la configuration WireGuard. Un attaquant capable d’intercepter et de déchiffrer le trafic entre le Firebox et WatchGuard Cloud peut modifier la configuration envoyée et provoquer un déni de service, voire exécuter du code. Seuls les Firebox configurés comme passerelle FireCloud sont concernés, sur les branches 2026.2 et 12.12.
• CVE-2026-93857 (9.2) : débordement de pile dans le proxy SIP, exploitable sans authentification par une requête envoyée à travers une règle qui utilise ce proxy. Point d’attention pour les entreprises qui font passer leur téléphonie IP par le Firebox.
• CVE-2026-93866 (9.2) : dépassement d’entier dans l’Access Portal, exploitable sans authentification, lorsque cette fonction est activée.
• CVE-2026-112709 et CVE-2026-112710 (9.2) : débordements de tas dans le service d’authentification Active Directory. L’attaquant doit contrôler ou intercepter le trafic vers le serveur AD configuré.
• CVE-2026-93865 (9.2) : absence d’authentification dans le démon de synchronisation FireCluster, qui permet d’injecter des actions d’administration privilégiées via l’adresse de gestion du cluster.
• CVE-2026-103593 (9.1) : débordement de pile dans le service de journalisation, uniquement en mode FIPS avec un serveur de journaux externe.

S’y ajoutent des failles notées élevées ou moyennes : extraction de secrets de configuration via l’authentification SSH sans authentification (CVE-2026-93434), déni de service non authentifié sur l’interface d’administration (CVE-2026-111107), autres failles FireCluster (CVE-2026-90465, CVE-2026-93862, CVE-2026-104381), modification de fichiers en tant que root par un administrateur authentifié (CVE-2026-90464), détournement de session MFA AuthPoint (CVE-2026-82332), ainsi que CVE-2026-113881, CVE-2026-90442 et CVE-2026-93864.

Produit	Versions touchées	Version corrigée
Fireware OS (branche 2025/2026)	2025.1 et suivantes, antérieures à 2026.4	2026.4
Fireware OS (branche 12.x)	12.0 et suivantes, antérieures à 12.12.4	12.12.4
Fireware OS sur Firebox T15 et T35	12.x antérieures à 12.5.22	12.5.22
Mobile VPN with SSL, client Windows	12.0 et suivantes, antérieures à 2026.4	2026.4

Source : avis du PSIRT WatchGuard publiés le 27 octobre 2026 et bulletin maCERT 67162810/26. Certaines failles ne concernent qu’une partie de ces branches (par exemple CVE-2026-103594, limitée aux versions 2026.2 et 12.12) : la mise à jour vers la version corrigée de votre branche les couvre toutes.

Gravité et exploitation

• Gravité publiée : WatchGuard attribue des scores CVSS v4.0 allant jusqu’à 9.5 pour CVE-2026-103594 ; la NVD reprend les scores de l’éditeur, ses propres analyses étant encore en attente. Le maCERT de la DGSSI classe le lot à un niveau de risque et d’impact critique, avec comme risques l’exécution de code à distance, l’élévation de privilèges, l’accès à des informations confidentielles et le déni de service.
• Exploitation : WatchGuard déclare pour chaque avis ne pas avoir connaissance d’une exploitation. Aucune de ces CVE ne figure au catalogue KEV de la CISA à la date de cet article. Ce catalogue contient en revanche des failles Firebox plus anciennes, ce qui rappelle que ces équipements intéressent les attaquants.
• Conditions : la plupart des failles critiques demandent qu’une fonction précise soit activée ou qu’un attaquant soit en position d’intercepter un flux. Ce n’est pas une raison pour reporter : ces conditions sont courantes dans les configurations de PME.

Les mesures d’attente, si la mise à jour doit attendre quelques heures

Les avis de WatchGuard ne proposent aucun contournement. Les mesures suivantes réduisent l’exposition sans remplacer la mise à jour :

1. Limiter l’accès à l’administration : interface web de gestion et SSH accessibles uniquement depuis le réseau interne ou une liste d’adresses de confiance, jamais depuis tout internet.
2. Désactiver ce qui ne sert pas : Access Portal, proxy SIP, intégrations inutilisées.
3. Isoler le lien FireCluster : l’interface de synchronisation du cluster doit rester sur un lien dédié, sans autre trafic.
4. Surveiller : alertes sur les redémarrages inattendus de services, les connexions d’administration inhabituelles et les modifications de configuration.

Les vérifications à faire

• Inventorier les Firebox : modèle, branche Fireware et version en service, y compris les boîtiers d’agences et les FireboxV ou Firebox Cloud.
• Identifier les fonctions concernées : proxy SIP, Access Portal, authentification Active Directory, AuthPoint, FireCluster, passerelle FireCloud, mode FIPS avec serveur de journaux externe. Ces boîtiers passent en tête de la liste.
• Planifier la mise à jour : sauvegarde de la configuration, créneau de maintenance, puis contrôle de la version affichée après redémarrage. Pour un cluster, mettre à jour les deux membres.
• Mettre à jour les postes : client Mobile VPN with SSL en 2026.4 sur les PC Windows, en suivant la méthode décrite dans notre article WatchGuard Mobile VPN pour le télétravail.
• Contrôler les journaux : connexions d’administration et SSH depuis des adresses inconnues, comptes ajoutés, règles modifiées récemment.

Notre lecture pour les entreprises au Maroc

Deux situations reviennent souvent. La première : la téléphonie IP qui traverse le Firebox avec le proxy SIP activé, parfois sans que l’équipe le sache. Si c’est votre cas, relisez aussi nos bonnes pratiques pour sécuriser 3CX. La seconde : l’interface d’administration ouverte sur internet « pour dépanner à distance ». Elle doit être fermée, que la mise à jour soit faite ou non.

Une mise à jour de pare-feu se prépare. Elle s’inscrit dans une démarche plus large : MFA avec WatchGuard AuthPoint pour les accès distants, supervision et EDR managés 24/7 pour repérer une activité anormale, et respect des exigences de la loi 05-20 et de la DGSSI pour les organismes concernés.

Comment nous pouvons vous aider

Partenaire WatchGuard au Maroc, nous inventorions vos Firebox, appliquons Fireware OS 2026.4, 12.12.4 ou 12.5.22 dans un créneau maîtrisé, fermons les accès d’administration exposés, mettons à jour les clients VPN et vérifions l’absence de traces suspectes. Nous assurons ensuite la supervision 24/7, avec une prise en charge des incidents critiques en moins de 15 minutes. Retrouvez notre approche de la cybersécurité des entreprises au Maroc, puis demandez votre audit initial offert : nous vous répondons sous 24 h ouvrées.

Sources : avis de sécurité du PSIRT WatchGuard, CVE-2026-103594, CVE-2026-93857, CVE-2026-93866, CVE-2026-112709, CVE-2026-93865, CVE-2026-115495, notes de version Fireware, NVD CVE-2026-93857, catalogue CISA KEV, bulletin maCERT 67162810/26 (DGSSI).