Grupos de ransomware ya explotan una falla crítica en firewalls WatchGuard
CISA confirmó el 10 de septiembre de 2026 que grupos de ransomware están explotando activamente CVE-2025-14733, una vulnerabilidad de ejecución remota de código sin autenticación en los firewalls Firebox de WatchGuard. La falla, un desbordamiento de búfer fuera de límites (out-of-bounds write) en el proceso IKED —el demonio que negocia y administra los túneles VPN—, afecta a equipos configurados con VPN IKEv2 usando un gateway de par dinámico, ya sea para acceso remoto de usuarios móviles o VPN entre sucursales.
WatchGuard divulgó y parchó esta falla el 18 de diciembre de 2025, con versiones corregidas disponibles desde entonces (Fireware OS v2025.1.4, v12.11.6, v12.5.15 y 12.3.1_Update4). El problema es que, casi nueve meses después, WatchGuard y Shadowserver reportan que decenas de miles de dispositivos siguen expuestos en internet sin el parche aplicado — y ahora hay evidencia de que operadores de ransomware están usando esta falla activamente como puerta de entrada.
Una señal de compromiso a vigilar: el proceso IKED se cuelga o se cae generando reportes de fallo, interrumpiendo la negociación de los túneles VPN. Si tu organización tiene un Firebox con VPN IKEv2 configurada y notas este comportamiento, es una alerta a tomar en serio incluso si ya aplicaste el parche — WatchGuard advierte que remover ciertas configuraciones no es suficiente por sí solo para eliminar el riesgo en equipos que estuvieron expuestos.
Este caso repite un patrón que ya hemos visto varias veces este año: la ventana entre "parche disponible" y "parche aplicado" es exactamente donde los atacantes concentran sus esfuerzos, especialmente en dispositivos de borde de red (firewalls, VPN, gateways) que por su naturaleza están expuestos directamente a internet. Nueve meses es tiempo más que suficiente para que un grupo de ransomware automatice el escaneo y explotación de un CVE público.
En Axentia damos soporte a implementaciones de firewalls y VPN de distintas marcas, y ayudamos a nuestros clientes a mantener un calendario de parches que no dependa de la memoria o la disponibilidad de alguien en particular — porque, como en este caso, el costo de posponer una actualización de firmware puede terminar siendo un incidente de ransomware completo.
