Normalerweise ist die Vorstellung bei einem VPN klar: Du verbindest dich mit einem Server, dem du vertraust. WatchGuard hat jetzt eine Lücke geschlossen, die dieses Vertrauensverhältnis komplett umdreht — hier kann der Server selbst zum Angreifer werden, und zwar mit den höchsten Rechten, die ein Gerät überhaupt vergeben kann.
WAS GENAU PASSIEREN KANN
Die Schwachstelle CVE-2026-86131 steckt in der Art, wie Fireware OS BOVPN-over-TLS-Clientkonfigurationen verarbeitet. BOVPN over TLS ist eine Funktion, mit der WatchGuard-Firewalls (bekannt als „Firebox“) eine VPN-Verbindung zu einem entfernten Server aufbauen. Das Problem: Wenn eine Firebox sich mit einem von Angreifern kontrollierten BOVPN-over-TLS-Server verbindet, kann dieser Server über eine Code-Injection beliebige Befehle als Root auf der Firebox ausführen. Im Klartext: volle Kontrolle über die Firewall, nicht nur über die VPN-Verbindung selbst.
WatchGuard bewertet die Lücke mit einem CVSS-Wert von 9,2 — ein Wert, der normalerweise Alarm auslösen sollte, gerade weil eine Firewall per Definition an der Netzwerkgrenze sitzt und damit ein besonders lohnendes Ziel ist.
WARUM NOCH KEIN AKUTER PANIK-MODUS NÖTIG IST
Die gute Nachricht zuerst: WatchGuard selbst erklärt ausdrücklich, keine Hinweise auf eine aktive Ausnutzung in freier Wildbahn zu haben. Auch im Known-Exploited-Vulnerabilities-Katalog der US-Behörde CISA taucht die Lücke zum jetzigen Zeitpunkt nicht auf. Das Advisory selbst ist bereits am 29. September 2026 veröffentlicht worden — wer seine Firebox seither nicht aktualisiert hat, sollte das jetzt nachholen, auch ohne akuten Angriffsdruck.
Der Grund für die vergleichsweise ruhige Lage dürfte in der Angriffsvoraussetzung liegen: Eine Firebox muss sich aktiv mit einem bösartigen BOVPN-over-TLS-Server verbinden, damit die Lücke greift. Das ist kein Szenario, das sich aus dem offenen Internet heraus automatisiert durchprobieren lässt wie bei klassischen Internet-facing-RCE-Lücken — ein Angreifer müsste erst die Verbindung einer Ziel-Firebox zu seinem eigenen Server erreichen, etwa über eine kompromittierte Lieferkette oder gefälschte Konfigurationsdaten.
WER BETROFFEN IST — UND WIE DU PATCHST
Betroffen sind mehrere parallel gepflegte Fireware-Versionslinien:
- Fireware 2026.3 vor Version 2026.3.2
- Fireware 2026.2 / 2025.0 vor Version 2026.2.3
- Fireware 12.x vor Version 12.12.3
- Fireware 12.5 vor Version 12.5.21
WatchGuard hat für jede dieser Linien bereits eine gefixte Version bereitgestellt. Der Weg dorthin führt über das übliche Firmware-Update im WatchGuard System Manager oder die Web-UI der Firebox — eine Sonderprozedur ist nicht nötig.
EINORDNUNG FÜR HOMELAB UND KLEINE IT-ABTEILUNGEN
WatchGuard-Fireboxen sind vor allem bei kleinen und mittleren Unternehmen sowie in anspruchsvolleren Homelab-Setups als Perimeter-Firewall im Einsatz, oft gerade wegen der eingebauten VPN-Funktionen. Wer BOVPN over TLS aktiv als Client nutzt — also die eigene Firebox mit einem fremden oder von Dritten betriebenen Endpunkt verbindet — sollte der Aktualisierung Priorität geben. Wer BOVPN over TLS gar nicht oder nur als Server-Rolle nutzt, ist von genau diesem Angriffsweg nicht betroffen, sollte das Update aber trotzdem zeitnah einspielen.