WatchGuard 一次發 18 則漏洞公告，Firebox 防火牆最高 9.5 分、幾個不必登入就能攻擊：用 Firebox 的公司請升級到 Fireware 2026.4、12.12.4 或 12.5.22

趨勢新聞2026 年 10 月 28 日

很多公司的網路出口有一台防火牆，擋外面的連線，也讓員工在家用 VPN（虛擬私人網路）連回公司。WatchGuard 是美國的防火牆廠商，產品叫 Firebox，官網說客戶「尤其是中小企業」（本站譯），而且只透過經銷商與代管服務商銷售。WatchGuard 10 月 27 日一次發布 18 則安全公告：17 個漏洞在 Firebox 的作業系統 Fireware OS，1 個在 Windows 版 VPN 用戶端。最高分 9.5（滿分 10），其中 SIP 代理、Access Portal、FireCluster 同步三處，攻擊者不必登入就能下手，但都要防火牆開了對應功能。WatchGuard 說目前不知道有人實際利用。本站的讀法：該動手的是公司的 IT 人員或經銷商，確認防火牆與 VPN 用戶端的版本、排時間更新；用 Windows 版 VPN 用戶端的員工，照公司通知更新即可。

我的公司會不會受影響？

• 一般機型跑 Fireware 2025.1 到 2026.4 之前，或 12.0 到 12.12.4 之前：這是多數公告列出的範圍，升級到 2026.4 或 12.12.4。少數幾則起點較晚（例如 WireGuard 那則從 2026.2、12.12 起），每則還要看有沒有開對應功能。
• 小型機 T15、T35：跑 12.0 到 12.5.22 之前的在範圍內，升級到 12.5.22。
• 員工電腦裝了 Windows 版 Mobile VPN with SSL 用戶端（12.0 起、2026.4 之前）：已在這台電腦上、能擷取本機回送（loopback）流量的攻擊者，可以拿到 VPN 帳號密碼（CVSS 5.7），用戶端換成 2026.4 版。

WatchGuard 只透過經銷商與代管服務商銷售，本站的讀法是直接問幫你裝機的廠商：我們是哪一版、什麼時候升。本站這次查閱的公開資料裡，沒有台灣 Firebox 裝機數，所以不推估受影響的公司有多少。

名詞先講清楚

CVE 是漏洞的國際統一編號。CVSS 是 0 到 10 的嚴重度分數，這次用 4.0 版，9 分以上屬「重大」。「遠端執行程式碼」指攻擊者從網路另一端讓設備跑他指定的程式。SIP 是網路電話用的通訊協定，Firebox 的 SIP 代理負責檢查這類流量；Access Portal 是讓遠端員工從網頁連進公司內部系統的入口；FireCluster 是兩台 Firebox 互為備援的叢集；AD（Active Directory）是 Windows 網域的帳號系統。

最嚴重的幾個，各要什麼條件

18 則裡有 7 則是重大級。SIP 代理漏洞（CVE-2026-93857，9.2 分）的公告寫的是「遠端、未經驗證的攻擊者，透過使用 SIP 代理的政策（防火牆規則）送出特製請求，就能執行任意程式碼」（本站譯）。Access Portal（CVE-2026-93866，9.2 分）也不必登入，能讓攻擊者寫到記憶體邊界之外；公告標題沒說能執行程式。FireCluster 同步服務（CVE-2026-93865，9.2 分）在開了叢集功能時，能連到叢集管理 IP 的人不必登入，送出特製請求就能執行有特權的系統層級管理動作。

分數最高的 WireGuard 漏洞（CVE-2026-103594，9.5 分）另有前提：防火牆要設成 FireCloud Gateway，攻擊者還得已經能在 Firebox 與 WatchGuard Cloud 之間攔截並解密加密連線（這是攻擊的前提，不是這個漏洞給的能力），再竄改設定資料。兩個 AD 驗證漏洞（9.2 分）要攻擊者能控制或攔截 AD 伺服器的回應；記錄服務漏洞（9.1 分）只影響 FIPS 模式又接外部記錄伺服器的設備，攻擊者還要在相鄰網路上、能冒充或攔截那台記錄伺服器的流量，送出特製憑證。本站的讀法：分數反映最壞情況，各家要看自己開了哪些功能。

另有兩則 8.7 分跟管理入口有關：能連到管理用 SSH 的人，不必登入就可能撈出設定裡的機密資料（CVE-2026-93434）；能連到管理介面的人可以一再讓管理服務當掉，但官方說網路流量不受影響（CVE-2026-111107）。

為什麼要排時間處理

本站的讀法：防火牆守在公司網路的出入口，這批漏洞有的能讓攻擊者執行程式或下管理指令，所以值得排時間修。Firebox 過去就出過事：美國網路安全暨基礎設施安全局（CISA）的「已遭利用漏洞目錄」裡有 4 筆 Firebox 相關漏洞，最近兩筆是 2025 年 11 月與 12 月列入，後者還標明已被用在勒索軟體攻擊。這次的 18 個漏洞，截至 CISA 10 月 27 日更新的目錄都沒有列入。

18 則公告的「解法」欄都只寫升級版本，本站讀到的版本沒有列出暫時替代做法。本站的讀法：升級前，先確認管理介面與管理用 SSH 沒有開放給整個網際網路；沒用到的 SIP 代理、Access Portal 先關掉。萬一懷疑已被入侵，一般企業可以透過 TWCERT/CC（台灣電腦網路危機處理暨協調中心）的「一般資安通報」線上服務通報。

還有一個細節：18 則裡 12 則的發現者只寫「WatchGuard AI Security Research」，1 則由這個團隊與外部研究人員共同列名，4 則只列外部研究人員，另 1 則標示為 WatchGuard 內部發現。