セキュリティ

WatchGuardの脆弱性17件：Fireboxの版確認と2026.4・12.12.4への更新判断【2026年10月】

WatchGuardの脆弱性17件：Fireboxの版確認と2026.4・12.12.4への更新判断【2026年10月】

WatchGuardは2026年10月27日、Firebox用のOSであるFireware OSの脆弱性17件と、Windows版Mobile VPN with SSLクライアントの脆弱性1件を公表しました。CVSS v4.0で9.0以上が7件あり、7件とも攻撃に認証を必要としない評価です。この記事では、機種ごとにどの修正版へ上げるか、AD認証やAccess Portalなど影響を左右する設定の確かめ方、機器台帳から該当するCVEを出すPythonスクリプト、更新の優先度までを実装と運用の目線で整理しました。内容は2026年10月30日時点の公開情報にもとづきます。

まとめ：WatchGuard Fireboxは機種に合う修正版へ上げ設定条件で順番を決める

修正版は機種で3つに分かれます。2026.x系が動く機種はFireware 2026.4、12.12.x系の機種は12.12.4、T15とT35は12.5.22です。いずれも10月27日に出ており、アドバイザリに回避策の記載はありません。塞ぐ手段は更新だけです。

17件の多くは、AD認証サーバー、Access Portal、FireCluster、SIPプロキシといった特定の設定を前提にしています。設定を持たない機器では当たらないCVEもあるため、まず機器ごとに版と設定を棚卸しし、該当件数と深刻度で更新の順番を決めます。

WatchGuardは悪用を把握していないとしていますが、Fireboxは過去にKEVへ4件載り、うち1件はランサムウェアでの悪用が確認されています。社外から届く機能を有効にしている機器は、次の保守枠を待たずに更新してください。版と設定の点検を外に任せたい場合は、脆弱性診断・セキュリティ診断で範囲を決めると抜けが出にくくなります。

2026年10月27日公表のFireware OS脆弱性17件とCVSS 9以上7件の中身

Fireboxは、ファイアウォールやVPN、ウイルス対策などを1台にまとめたWatchGuardのUTM製品です。UTMとファイアウォールの役割の違いはUTMの機能とファイアウォールとの違いで整理しています。今回の18件はWatchGuard PSIRTのアドバイザリ一覧に同じ日付で並びました。

CVSS v4.0で9.0以上の7件の攻撃条件と前提になる設定の一覧

9.0以上の7件を、前提となる設定と攻撃者の位置で並べます。CVSSはすべてv4.0の基本値です。

CVE CVSS 前提の設定 攻撃者の位置
CVE-2026-103594 9.5 FireCloud Gateway Cloudとの通信を傍受
CVE-2026-112709 9.2 AD認証サーバー ADとの通信を傍受
CVE-2026-112710 9.2 AD認証サーバー ADとの通信を傍受
CVE-2026-93857 9.2 SIPプロキシ 認証なし・ネットワーク
CVE-2026-93865 9.2 FireCluster 管理IPへ到達
CVE-2026-93866 9.2 Access Portal 認証なし・ネットワーク
CVE-2026-103593 9.1 FIPSモード＋外部ログ ログ通信を傍受

最も高いCVE-2026-103594は、WireGuardの設定を処理する部分のスタックバッファオーバーフローです。ただし対象はFireCloud Gatewayとして構成したFireboxに限られ、攻撃者はFireboxとWatchGuard Cloudの間で復号後の通信を改ざんできる位置にいる必要があります。v4.0のベクトルでいうAT:P（Present）、つまり攻撃に前提条件がある状態です。v4.0の指標の読み方はCVSS v4.0 9.2の読み方で解説しています。

認証前に届く攻撃経路と傍受・隣接・認証済みが前提の経路の違い

同じ9.2でも、攻撃の入口はかなり違います。社外に向けて開く機能がそのまま入口になるのは2件です。CVE-2026-93866はAccess PortalのWebSocket処理の整数オーバーフローで、Access Portalを有効にした機器が対象です。CVE-2026-93857はSIPプロキシのスタックバッファオーバーフローで、SIPプロキシを使うポリシーを経由して届きます。

AD認証の2件（CVE-2026-112709・CVE-2026-112710）は、FireboxがADサーバーから受け取る応答を細工する攻撃です。ADとの通信を乗っ取れる位置が要るため、社内ネットワークに一度入られた後の横展開で効いてきます。FireboxがADへ問い合わせる仕組みはLDAPとActive Directoryの関係で確認できます。

CVE-2026-103593には注意点があります。説明文は「ネットワーク隣接の攻撃者」としていますが、ベクトルはAV:L（ローカル）です。ページ上でこの違いの説明はありません。FIPSモードで外部ログサーバーを使っていない機器は対象外なので、多くの組織では優先度が下がります。

悪用は未確認でもKEV登録4件の過去を踏まえて更新を急ぐ理由

18件すべてのアドバイザリで、WatchGuardは悪用を把握していないとしています。2026年10月30日に取得したCISAのKEVカタログ（2026.10.29版・1,764件）にも、今回のCVEは載っていません。JPCERT/CCの2026年の注意喚起一覧にもWatchGuardの項目はありません。

ただし、同じKEVにはWatchGuard製品が4件あります。CVE-2022-26318とCVE-2022-23176（2022年登録）、CVE-2025-9242（2025年11月12日登録）、CVE-2025-14733（2025年12月19日登録）です。最後の1件はランサムウェアでの悪用が「Known」とされ、是正期限は登録から7日後でした。Fireboxは攻撃者に狙われてきた製品であり、公表後に悪用が始まってからでは間に合わない場面があります。KEVの期限の決まり方はBOD 26-04の是正期限の決まり方で解説しています。

機種別の修正版：2026.4・12.12.4・12.5.22のどれに上げるかの決め方

Fireware OSは、機種によって動く系統が違います。修正版も系統ごとに出ているため、まず自社の機種がどの系統に属するかを確かめます。

対応機種から見たFireware 3系統の修正版と影響を受ける版の範囲

3本のリリースノートに書かれた対応機種と、多くのアドバイザリに共通する影響版の範囲をまとめます。

修正版 主な対応機種 影響を受ける版
2026.4 T115-W〜T185・M295〜M6850 2025.1以上2026.4未満
12.12.4 T20〜T85・M270〜M5800ほか 12.0以上12.12.4未満
12.5.22 T15・T35-DW／T35-R 12.0以上12.5.22未満

対応機種の一覧はv2026.4、v12.12.4、v12.5.22の各リリースノートの冒頭にあります。3本とも公開日は2026年10月27日です。12.12.4の対象には、表の範囲に加えてNV5、FireboxV、Firebox Cloudも入ります。

T15とT35が12.5系に留まるのには理由があります。12.5.22のリリースノートによれば、12.6以降はLinuxカーネル4.14をもとにしており、一部の機種では品質と性能が足りないため提供していません。T15とT35は、12.12系や2026系へは上げられない機種です。2026.4はOpenSSHとOpenSSLの更新も含むため、版を上げれば今回の17件以外もまとめて塞がります。

CVE-2026-103594など版の範囲が他と異なる3件と対象外になる版

17件のうち14件は上の表の範囲そのままですが、3件は範囲が狭くなっています。台帳で判定するときに取り違えやすい部分です。

  • CVE-2026-103594（FireCloud Gateway）：2026.2以上2026.4未満と12.12以上12.12.4未満。T15とT35の記載なし
  • CVE-2026-113881（Mobile VPNのNetwork Access Enforcement）：2025.1以上2026.4未満と12.9以上12.12.4未満。T15とT35の記載なし
  • CVE-2026-82332（AuthPointのMFA検証）：2025.1以上2026.4未満と12.7以上12.12.4未満。T15とT35の記載なし

範囲が狭いぶん、古い版が対象外になることはあります。ただ、どの機器も修正版へ上げれば3件とも消えるため、範囲の違いが効くのは「どの機器から先に上げるか」を決める場面だけです。

Fireboxの版と影響する設定をCLIで確かめるコマンドと判定スクリプト

版だけでなく設定の有無で該当件数が変わるので、機器ごとに両方を記録します。台数が少なければWeb UIで見れば足りますが、拠点が多い組織ではCLIで同じ手順を回すほうが漏れを防げます。

SSHのポート4118で接続して版と設定をshowコマンドで確かめる手順

Fireware CLI Reference（v12.9.4）によれば、FireboxのCLIへはSSHでポート4118に接続します。既定のWatchGuardポリシーは、trustedかoptionalのネットワークからの接続だけを許可する設定です。リファレンスに載っている次のコマンドで、版と設定を順に確かめます。

show sysinfo
show auth-server
show access-portal portal
show cluster status
show rule
show proxy-action

リファレンスでのshow sysinfoの説明は「Fireboxのシステム情報を表示」までで、表示項目は書かれていません。版が読み取れない場合は、Fireware Web UIの「System > Upgrade OS」ページで確かめます。このページに版番号が正しく出ない不具合は2026.4で直ったと、同版のリリースノートに書かれています。なお、手元の機器が2026.x系の場合、コマンド名がv12.9.4版のリファレンスと同じかは実機で確かめてください。

AD認証・Access Portal・FireCluster・SIPプロキシの有無の判定

各コマンドの出力から、次の4点を拾います。前提の設定ごとに、該当するCVEがどれかも併記しました。

  • show auth-server：Active Directoryの認証サーバーが設定されていれば、CVE-2026-112709と112710の対象
  • show access-portal portal：Access Portalが有効ならCVE-2026-93866の対象
  • show cluster status：FireClusterのメンバーならCVE-2026-93865・90465・93862の対象。BOVPNトンネルもあればCVE-2026-104381も加わる
  • show ruleとshow proxy-action：SIPプロキシを使うポリシーがあればCVE-2026-93857の対象

最優先で見るのはAccess PortalとSIPプロキシです。この2つは認証なしで外から届くため、有効になっていれば他の条件より先に更新の手配に入ります。

機器台帳のCSVから該当CVEと修正版を出すPythonスクリプト

確かめた版と設定を台帳のCSVにまとめ、次のスクリプトに渡すと、機器ごとに該当するCVEと上げるべき修正版が出ます。版の範囲は各アドバイザリの記載をそのまま写しています。

import csv
import sys

# 2026-10-27公開のFireware OSアドバイザリ17件（psirt.watchguard.com）
# 版の範囲は [下限, 上限) 。"t" は T15/T35 向けの範囲
STD = {"default": [("2025.1", "2026.4"), ("12.0", "12.12.4")],
       "t": [("12.0", "12.5.22")]}
ADVISORIES = [
    ("CVE-2026-103594", 9.5, "firecloud",
     {"default": [("2026.2", "2026.4"), ("12.12", "12.12.4")], "t": []}),
    ("CVE-2026-112709", 9.2, "ad", STD),
    ("CVE-2026-112710", 9.2, "ad", STD),
    ("CVE-2026-93857", 9.2, "sip", STD),
    ("CVE-2026-93865", 9.2, "cluster", STD),
    ("CVE-2026-93866", 9.2, "portal", STD),
    ("CVE-2026-103593", 9.1, "fips_log", STD),
    ("CVE-2026-90465", 8.7, "cluster", STD),
    ("CVE-2026-93434", 8.7, "ssh", STD),
    ("CVE-2026-111107", 8.7, "mgmt", STD),
    ("CVE-2026-90442", 8.6, "admin", STD),
    ("CVE-2026-90464", 7.2, "admin", STD),
    ("CVE-2026-93862", 7.2, "cluster", STD),
    ("CVE-2026-93864", 7.1, "local", STD),
    ("CVE-2026-113881", 6.1, "nac",
     {"default": [("2025.1", "2026.4"), ("12.9", "12.12.4")], "t": []}),
    ("CVE-2026-104381", 6.0, "cluster_bovpn", STD),
    ("CVE-2026-82332", 5.6, "authpoint",
     {"default": [("2025.1", "2026.4"), ("12.7", "12.12.4")], "t": []}),
]
# 設定に関係なく版だけで該当とみなすもの（認証済み・ローカルが前提）
ALWAYS = {"admin", "local"}


def ver(text):
    return tuple(int(x) for x in text.split("."))


def in_range(v, ranges):
    return any(ver(lo) <= v < ver(hi) for lo, hi in ranges)


def fixed_version(model, v):
    if model.upper().startswith(("T15", "T35")):
        return "12.5.22"
    return "2026.4" if v[0] >= 2025 else "12.12.4"


with open(sys.argv[1], encoding="utf-8") as f:
    for row in csv.DictReader(f):
        v = ver(row["version"])
        feats = set(row["features"].split(";")) if row["features"] else set()
        if "cluster" in feats and "bovpn" in feats:
            feats.add("cluster_bovpn")
        key = "t" if row["model"].upper().startswith(("T15", "T35")) else "default"
        hits = []
        for cve, score, cond, ranges in ADVISORIES:
            if in_range(v, ranges[key]) and (cond in feats or cond in ALWAYS):
                hits.append(f"{cve}({score})")
        target = fixed_version(row["model"], v)
        status = f"{len(hits)}件該当 -> {target}以上へ" if hits else "該当なし"
        print(f"{row['name']} {row['model']} {row['version']}: {status}")
        for h in hits:
            print("   ", h)

台帳はname,model,version,featuresの4列で、featuresには持っている設定をad;portal;cluster;bovpnのようにセミコロン区切りで書きます。使えるキーは、スクリプトの3列目にあるad・sip・portal・cluster・bovpn・mgmt（管理画面に社外から届く）・sshなどです。

2026年10月30日に、4台分のサンプル台帳で実行して結果を確かめました。2026.3.2のM495にAD認証・Access Portal・FireCluster・BOVPNを持たせた行は11件該当で2026.4へ、12.12.3のT45にSIPプロキシを持たせた行は4件該当で12.12.4へ、12.5.21のT35-Rは設定なしでも3件該当で12.5.22へ、2026.4のT145は該当なしと出ました。設定なしでも残る3件は、認証済みの管理者やローカルの権限を前提にしたCVE-2026-90442・90464・93864です。標準ライブラリだけで動き、機器には接続しません。

更新までの間に塞ぐ範囲：管理インターフェースとAccess Portalの外部公開

18件のどのアドバイザリにも回避策の記載はありません。更新までの数日を埋める手段は、攻撃の入口に届く経路を減らすことです。

回避策なしのアドバイザリで管理画面とSSHの到達元を絞る設定の考え方

管理系の2件は、管理インターフェースへの到達可否が攻撃成立の条件です。CVE-2026-111107は細工したログイン要求で管理サービスを落とすもので、通信の処理は止まりませんが、管理者のセッションが切れます。CVE-2026-93434はSSH認証のXPathインジェクションで、認証なしで設定内の秘密情報を抜き出せるおそれがあります。

CLIリファレンスのとおり、既定ではtrustedとoptionalのネットワークからしか管理用のポートに届きません。保守業者のために管理ポリシーへexternalからの許可を足している機器があれば、送信元を保守業者の固定IPに絞るか、更新が済むまで外します。これは今回の2件に限らず、Fireboxの管理画面を狙う攻撃全般への備えにもなります。

Access Portalは、使っていないのに有効のまま残っている機器がないかを確認してください。使っていなければ無効にするだけでCVE-2026-93866の対象から外れます。使っている場合は止められないので、その機器を更新の先頭に置きます。

Mobile VPN with SSLのWindows版を2026.4へ更新する理由

18件のうち1件はFireboxではなく、利用者のPCに入るクライアントの問題です。CVE-2026-115495では、Windows版Mobile VPN with SSLクライアントが、PC内部の管理用の通信でVPNのユーザー名とパスワードを平文で送っていました。影響版は12.0以上2026.4未満で、CVSSは5.7です。

攻撃にはPC上でその通信を読める権限が要るため、単独の深刻度は高くありません。ただ、盗まれるのはVPNの認証情報そのものです。共用PCや、マルウェア感染が疑われるPCから社内へVPN接続している組織では、Firebox本体の更新と同じ時期にクライアントも2026.4へ入れ替えます。2026.4のリリースノートでは、Windows版クライアント（WG-MVPN-SSL_2026_4.exe）が今回の更新対象になっています。なお、このアドバイザリは10月29日に更新日が付きましたが、変更点は書かれていません。

WatchGuard Fireboxの更新優先度と自社運用か外部点検かの判断基準

修正版はすべての機器で同じです。決めるべきは順番だけなので、台帳の判定結果と、外から届く入口の有無で並べます。

当日中に更新するFireboxと次の保守枠で足りるFireboxの線引き

当日中に更新の手配に入るのは、Access PortalかSIPプロキシを有効にしている機器と、管理画面やSSHを社外に開いている機器です。どれも認証なしで届く入口を持っています。FireClusterの冗長構成なら、片側ずつ更新して通信の停止を短くできるかを、作業前に導入業者と詰めておきます。

次が、AD認証やFireClusterだけが該当する機器です。攻撃者は社内ネットワークやクラスタの同期網に入っている必要があり、外からいきなり狙われる経路ではありません。1〜2週間以内の保守枠で足ります。設定なしで残る3件しか該当しない機器も、同じ枠でまとめて上げます。

次の保守まで待つと決めた機器でも、KEVへの追加とPSIRTの更新は毎日見てください。悪用の確認が出た時点で、優先度は当日へ繰り上がります。VPN機器全体の版をKEVと突き合わせる仕組みは、VPN機器の版確認コマンドとKEV照合スクリプトがそのまま土台になります。

社内でFirebox更新を回せない組織が外部点検に任せる範囲

情シス担当が1人の会社や、拠点ごとに導入業者が違う会社では、詰まるのは更新そのものより、どの拠点にどの機種がどの版で動き、どの設定を持つかが分からないことです。台帳が無ければ、上のスクリプトも回せません。

台帳づくりと外部から見える入口の洗い出しまでは、外部の点検に任せる価値があります。外から届く管理画面やAccess Portalは、開いたままになっていても社内からは気づきにくいためです。更新作業は導入業者の保守契約で回し、点検の範囲と頻度だけを決めておく分担が現実的です。外部点検の種類と発注時の判断は脆弱性診断の種類と進め方・外注時の判断基準で整理しています。VPNの入口そのものを減らす方向なら、ZTNAとVPNの違いと製品選定も判断材料になります。

WatchGuard Fireboxの脆弱性対応でよく受ける質問と回答

2026年10月のFireware OSの脆弱性対応で出てきやすい疑問に、公開されている一次情報の範囲で答えます。

Access PortalもSIPプロキシも使っていなければ更新しなくてもよいですか？

更新は必要です。認証済みの管理者やローカルの権限を前提にしたCVE-2026-90442・90464・93864の3件は、設定に関係なく影響版なら当たります。また、管理画面やSSHに届くかどうかで決まるCVE-2026-111107と93434も残ります。急ぎ度は下がりますが、1〜2週間以内の保守枠で修正版へ上げてください。

2026.3.2へ9月末に上げたばかりですが、また更新が必要ですか？

必要です。今回の多くのアドバイザリの影響版は2025.1以上2026.4未満で、2026.3.2も含まれます。カナダのサイバーセキュリティセンターは10月1日のAV26-981で、2026.3.2より前の版に残るCVE-2026-86134を取り上げており、9月末の更新はそちらへの対応にあたります。今回の17件はその後に公表されたもので、2026.3系には修正版が出ていません。2026.4へ上げます。

T35を使っていますが、2026.4へ上げられますか？

上げられません。12.5.22のリリースノートによれば、T15とT35-DW／T35-Rは12.6以降が提供されていない機種です。今回の修正版は12.5.22で、これを当てれば17件のうちT15とT35に記載のある件は塞がります。ただし12.5系は機能追加の対象から外れているため、機器の更改を計画に入れておくのが安全です。

JPCERT/CCの注意喚起やCISAのKEV登録は出ていますか？

2026年10月30日の確認では、どちらも出ていません。JPCERT/CCの2026年の注意喚起一覧にWatchGuardの項目はなく、CISAのKEVも2026.10.29版に今回のCVEは載っていませんでした。WatchGuardも悪用は把握していないとしています。ただし過去にはFireboxの脆弱性がKEVに4件載っているため、登録を待たずに更新を進めてください。

FireClusterの片側だけ先に更新しても問題ありませんか？

FireClusterの脆弱性4件は、クラスタの同期網や管理IPに届く攻撃者を前提にしています。更新中は2台の版がずれますが、旧版の側には脆弱性が残るため、片側を上げたら間を空けずにもう片側も上げます。WatchGuardのリリースノートは、特定の版の間で更新前に知っておくべき既知の問題を「Release-specific upgrade notes」にまとめているので、作業前に確かめてください。

関連記事

お気に入りに入れた記事の一覧

この記事は以下の記事からリンクされています

この記事に関連するサービス

資料請求

今日のトレンド記事 直近 24 時間で、いつもより多く読まれている記事

  1. 2026.10.27　テックブログ Brotli 脆弱性：CVE-2026-111497の影響確認とNode.js・Python・.NETの更新手順
  2. 2026.10.28　テックブログ リンツ不正アクセス：314万件の対象確認とパスワード強制リセット後の対処
  3. 2026.10.27　テックブログ Joshin（ジョーシン）不正アクセス：最大600万件の対象とサブスク初期パスワードの対処
  4. 2026.10.29　テックブログ So-net情報漏洩：258万件の対象確認とメールのパスワード再設定、窓口の番号
  5. 2026.10.23　テックブログ Renta!はいつ再開？不正アクセスでメールアドレス等が流出したおそれ・再開時のパスワード再設定と運営側の対応

RELATED POSTS 関連記事

一覧へ戻る

目次