WatchGuard Technologies ha emitido un parche de seguridad urgente para su sistema operativo Fireware OS tras confirmar la explotación activa de una vulnerabilidad crítica de ejecución remota de código, identificada como CVE-2025-14733. El fallo, con una puntuación CVSS de 9.3, afecta a dispositivos que utilizan configuraciones específicas de VPN IKEv2, y permite a atacantes no autenticados comprometer completamente los sistemas vulnerables.

Ilustración de firewall WatchGuard en alerta ante una amenaza digital.

Según ha informado el fabricante, la vulnerabilidad reside en el proceso iked, responsable de la gestión de conexiones IKEv2. Mediante el envío de paquetes especialmente manipulados, un atacante puede provocar una escritura fuera de límites en memoria, lo que desemboca en la ejecución arbitraria de código sin necesidad de credenciales. WatchGuard ha confirmado que esta técnica ya ha sido observada en campañas de ataque activas, lo que eleva considerablemente el nivel de riesgo.

El impacto se limita a dispositivos configurados con BOVPN (Branch Office VPN) que emplean gateways dinámicos, un escenario común en entornos empresariales distribuidos. No obstante, los sistemas que ya han sido actualizados o reconfigurados quedan protegidos frente a la explotación, lo que refuerza la urgencia de aplicar las medidas correctivas.

Esto puede provocar que un atacante tome el control total del firewall, desplegar malware, establecer accesos persistentes a la red corporativa y facilitar movimientos laterales hacia otros sistemas críticos. Este escenario supone un riesgo directo para la confidencialidad, integridad y disponibilidad de los servicios, especialmente en organizaciones que dependen de túneles VPN para sus operaciones diarias o para el acceso remoto de empleados y proveedores.

WatchGuard recomienda actualizar inmediatamente Fireware OS a la versión más reciente, que soluciona el problema de raíz. Como medidas de mitigación temporal, los administradores pueden deshabilitar los gateways dinámicos en BOVPN, sustituirlos por direcciones IP estáticas o alias, y ajustar las políticas de firewall correspondientes. Asimismo, se aconseja monitorizar los registros del sistema en busca de indicadores de compromiso, como errores inusuales o caídas del proceso iked, y reforzar la detección temprana mediante soluciones EDR y sistemas de monitorización en tiempo real.

La rápida respuesta del fabricante subraya la gravedad del fallo y la necesidad de actuar con inmediatez. Ignorar esta actualización puede dejar expuestas infraestructuras críticas a ataques avanzados con potencial para causar daños operativos, económicos y reputacionales significativos. En un contexto de creciente presión sobre los dispositivos perimetrales, mantenerlos actualizados sigue siendo una de las defensas más eficaces frente a amenazas sofisticadas.

Más información