WatchGuard FireWare OS: RCE pre-autenticazione nel servizio Endpoint

Il 9 settembre 2026 è stato pubblicato l'advisory ZDI-26-632 che documenta una vulnerabilità critica nel sistema operativo WatchGuard FireWare OS. La falla risiede nel servizio Endpoint Protection Manager (epm connect) e consente a un attaccante network-adjacent di eseguire codice arbitrario con privilegi di root senza alcuna autenticazione. WatchGuard ha rilasciato un aggiornamento correttivo dopo circa cinque mesi dalla segnalazione privata.

Il meccanismo: come funziona l'overflow su epm connect

Il servizio Endpoint Protection Manager gestisce la comunicazione tra il firewall WatchGuard e gli endpoint della rete locale. Secondo l'advisory ZDI, la vulnerabilità specifica risiede proprio in questo componente: il software non valida correttamente la lunghezza dei dati forniti dall'utente prima di copiarli in un buffer allocato sullo stack di dimensione prefissata.

Questa mancata validazione permette di eccedere i limiti del buffer, sovrascrivere il return address della funzione e dirottare l'esecuzione verso codice controllato dall'attaccante. Poiché il servizio opera con privilegi elevati, il risultato è un'esecuzione nel contesto di root — il massimo livello di accesso sul sistema.

"The specific flaw exists within the Endpoint Protection Manager service. The issue results from the lack of proper validation of the length of user-supplied data prior to copying it to a fixed-length stack-based buffer." — ZDI Advisory ZDI-26-632

Condizioni di attacco: chi può sfruttare la falla

L'advisory ZDI specifica che l'attaccante deve essere network-adjacent: non richiede posizione remota arbitraria da Internet, ma deve risiedere nella stessa rete locale del dispositivo bersaglio. Questo vincolo riduce la superficie di attacco rispetto a una vulnerabilità completamente remota, ma non la elimina.

Un attaccante può posizionarsi nella stessa rete attraverso compromissione di un endpoint, accesso a una rete Wi-Fi guest condivisa, movimento laterale da VLAN meno protette, o presenza fisica. L'autenticazione non è richiesta per sfruttare la vulnerabilità, il che abbatte ogni barriera basata su credenziali. Secondo la fonte, "this vulnerability allows network-adjacent attackers to execute arbitrary code on affected installations of WatchGuard FireWare OS. Authentication is not required to exploit this vulnerability."

Perché è importante

La criticità della falla va oltre il singolo dispositivo. Un firewall compromesso con privilegi di root diventa una piattaforma di attacco privilegiata all'interno della rete: può intercettare il traffico, modificare regole di filtraggio, reindirizzare connessioni, o fungere da punto di pivoting verso segmenti interni. Il componente vulnerabile — Endpoint Protection Manager — è progettato proprio per orchestrare la sicurezza degli endpoint, il che rende ironica e particolarmente grave la sua trasformazione in vettore di compromissione.

L'advisory non specifica quali interfacce di rete espongano il servizio epm connect, né quante installazioni di FireWare OS lo abbiano attivo di default. Questi dettagli mancanti lasciano aperte questioni operative: amministratori e analisti devono verificare autonomamente se il servizio è in ascolto su interfacce raggiungibili dalla rete locale o solo su segmenti ristretti.

Cosa fare adesso

Gli amministratori di sistemi WatchGuard devono applicare l'aggiornamento emesso dal vendor per FireWare OS, come indicato nell'advisory ZDI-26-632. La verifica dell'esposizione del servizio epm connect sulla rete locale è il primo passo operativo: controllare se il servizio è in ascolto su interfacce accessibili da segmenti non fidati, inclusi Wi-Fi guest o VLAN con accesso limitato.

È necessario verificare la presenza di eventuali regole di segmentazione che isolino il traffico verso il servizio Endpoint Protection Manager. La revisione dei log di rete per connessioni anomale verso le porte utilizzate da epm connect aiuta a identificare tentativi di sfruttamento precedenti all'applicazione della patch. La priorità va ai dispositivi con il servizio esposto su interfacce con elevata superficie di attacco, come quelle rivolte verso reti condivise o con molti endpoint.

Timeline della disclosure e stato della correzione

La vulnerabilità è stata segnalata a WatchGuard il 16 aprile 2026. Il rilascio coordinato è avvenuto il 9 settembre 2026, per una finestra di circa cinque mesi tra segnalazione privata e pubblicazione pubblica. WatchGuard ha emesso un aggiornamento correttivo, secondo quanto documentato dall'advisory.

Il CVE-2026-13086 è stato pubblicato con la stessa data del rilascio coordinato, confermando l'esistenza formale della vulnerabilità nel registro MITRE. Il CVSS score e il vector non sono esplicitati nel testo dell'advisory ZDI disponibile; il record CVE non fornisce nel materiale estratto dettagli tecnici aggiuntivi oltre alla corrispondenza temporale.

Limiti del dossier e punti non documentati

La fonte primaria non specifica le versioni esatte di FireWare OS interessate, le dimensioni del buffer vulnerabile, gli offset di exploit, né la presenza di tecniche di mitigazione runtime attive sul binario. Non emerge alcuna evidenza di sfruttamento in-the-wild nel materiale esaminato. La fonte non dettaglia inoltre se il servizio epm connect sia abilitato di default, su quali interfacce ascolti, o se esistano configurazioni che ne limitino l'esposizione senza applicare la patch completa.

Il dossier non documenta misure correttive specifiche al di là dell'aggiornamento emesso dal vendor. Non emergono raccomandazioni operative esplicite da parte di ZDI riguardo a controlli compensativi, work-around o verifiche di compromissione precedente.

Le informazioni sono basate sulla fonte citata e aggiornate al momento della pubblicazione.

Fonti

• http://www.zerodayinitiative.com/advisories/ZDI-26-632/
• https://www.cve.org/CVERecord?id=CVE-2026-13086
• https://www.trendmicro.com/
• https://www.trendmicro.com/en_us/business/products/one-platform.html