WatchGuard 漏洞修复规模罕见：这家防火墙厂商发布了多份安全公告，一次性修复 Fireware OS 与 Dimension 管理平台共 26 个漏洞，其中 5 个为严重级别，三个未认证远程代码执行漏洞恰好位于防火墙自身的 VPN 密钥交换进程中。
事件概述
三个最严重的漏洞集中在 Fireware OS 的 iked 守护进程——这是负责 IPsec VPN 协商与加密密钥建立（IKEv1/IKEv2）的核心组件：
- CVE-2026-19313（堆缓冲区溢出）；
- CVE-2026-19315（类型混淆）；
- CVE-2026-19318（栈缓冲区溢出）。
三者均可由攻击者通过特制网络流量触发，无需任何认证即可在设备上执行代码，CVSS 评分均为 9.3。第四个严重漏洞 CVE-2026-13086 位于已弃用 Mobile Security 功能依赖的 epm 服务，同样可未认证 RCE。第五个 CVE-2026-78174 位于 Dimension 管理平台，低权限管理员可提取超级管理员的会话 ID 与 CSRF 令牌，实现账户接管。
技术细节
防火墙类漏洞的特殊性在于角色反转：这类设备本是防御边界，一旦 iked 进程被攻陷，攻击者等于从组织防御体系的心脏内部获得了立足点，可进一步嗅探 VPN 流量、篡改安全策略或向内网横向移动。记忆损坏类漏洞（溢出、类型混淆）出现在处理 IKE 协商的进程中并不意外——IKE 报文解析逻辑复杂、状态机繁多，是网络设备历史上反复出问题的高危区域。
同批更新还包含 7 个高危漏洞（6 个可致 iked 拒绝服务）与 11 个中危漏洞。WatchGuard 表示目前未观测到在野利用。
影响评估
WatchGuard Firebox 系列在中小企业市场部署量巨大，VPN 服务又是必须暴露公网的组件，攻击面天然敞开。虽然暂无在野利用报告，但参照同类网关漏洞（如 Fortinet、Ivanti 的历史轨迹）从披露到被武器化的速度，修补窗口期预计很短。
修复建议
- Fireware OS 升级至 2026.2.2、12.12.2 或 12.5.20；
- Dimension 升级至 2.3.1；
- 仍在使用已弃用 Mobile Security 组件的用户应在修补同时清理遗留服务；
- 修补前检查设备日志，排查可疑 IKE 流量；
- VPN 网关尽量配合访问控制列表，仅允许可信来源 IP 发起 IKE 协商。