Una vulnerabilità critica nei firewall WatchGuard Firebox è entrata anche nel perimetro delle operazioni ransomware. La conferma arriva dalla Cybersecurity and Infrastructure Security Agency degli Stati Uniti, che ha aggiornato la propria scheda nel catalogo delle vulnerabilità note come sfruttate, indicando che il difetto viene impiegato in campagne legate alla cifratura e all’estorsione dei dati.
Il problema è identificato come CVE-2025-9242 e riguarda Fireware OS, il sistema operativo degli apparati Firebox. Si tratta di una falla che può consentire l’esecuzione di codice da remoto senza autenticazione: una caratteristica che la rende particolarmente delicata per un prodotto collocato al confine della rete aziendale. CISA l’aveva già inserita nel proprio Known Exploited Vulnerabilities Catalog a dicembre, segnalando che esistevano evidenze di sfruttamento nel mondo reale. L’aggiornamento chiarisce ora che tra gli utilizzatori figurano anche gruppi ransomware.
Perché un firewall vulnerabile offre un accesso prezioso agli attaccanti
Firewall e gateway VPN sono bersagli ricorrenti perché sono progettati per ricevere connessioni dall’esterno e, in molte organizzazioni, rappresentano una via diretta verso risorse interne. Un difetto che permette di prendere il controllo di uno di questi dispositivi può fornire agli aggressori un punto d’appoggio iniziale senza dover convincere un dipendente ad aprire un allegato o rubare preventivamente credenziali attraverso un sito falso.
Nel caso di una vulnerabilità RCE, l’esecuzione di codice sul dispositivo può trasformarsi nell’accesso a una parte della rete che il firewall dovrebbe proteggere. Da lì, la fase successiva dipende dalla campagna: ricognizione dell’ambiente, movimento laterale, sottrazione di dati, distribuzione del ransomware o una combinazione di queste attività. La segnalazione di CISA non attribuisce gli attacchi a un gruppo specifico, né descrive una singola catena di intrusione, ma è sufficiente a cambiare la priorità operativa assegnata al difetto.
Le vulnerabilità presenti nel catalogo KEV non sono semplicemente errori tecnici ad alta gravità. Sono falle per cui le autorità statunitensi hanno rilevato uno sfruttamento concreto. Quando l’indicazione viene estesa alle campagne ransomware, il rischio per le organizzazioni non riguarda soltanto l’indisponibilità di un apparato: entrano in gioco la continuità operativa, l’eventuale esfiltrazione di informazioni e le conseguenze finanziarie e legali di un incidente.
La cronologia: prima lo sfruttamento attivo, poi il legame con il ransomware
WatchGuard aveva pubblicato gli aggiornamenti di sicurezza per correggere CVE-2025-9242. A dicembre, CISA ha aggiunto la vulnerabilità alla lista KEV, invitando le organizzazioni a intervenire entro le scadenze fissate per le agenzie federali statunitensi. Il catalogo, tuttavia, è usato ben oltre il perimetro della pubblica amministrazione USA come riferimento per la gestione delle priorità di patching.
L’ultimo aggiornamento non modifica la natura del difetto, ma aggiunge un elemento essenziale alla valutazione: gli attori ransomware stanno sfruttandolo. Nella pratica, questo restringe il margine per trattare l’aggiornamento come una normale attività di manutenzione programmata. Un dispositivo raggiungibile da Internet, rimasto su una release vulnerabile, richiede una verifica immediata dell’esposizione e dell’applicazione delle correzioni rese disponibili dal produttore.
La classificazione CVSS della falla è critica, con un punteggio di 9,3 su 10. Il dato va interpretato insieme alle evidenze di attacco reali: punteggi elevati non implicano automaticamente che una vulnerabilità venga usata su larga scala, mentre il catalogo KEV serve proprio a distinguere i casi in cui il rischio è ormai operativo. In questo caso, le due condizioni coincidono.
Le verifiche da mettere in cima alla lista
Il primo passo per chi gestisce firewall WatchGuard è censire gli apparati Firebox, verificare la versione di Fireware OS installata e confrontarla con le release corrette riportate nell’avviso di sicurezza del produttore. L’aggiornamento va pianificato con attenzione per evitare interruzioni, ma non dovrebbe essere rimandato in attesa del normale ciclo mensile delle patch, soprattutto per gli appliance esposti direttamente a Internet.
La sola installazione della correzione non chiude necessariamente un’eventuale intrusione già avvenuta. Le organizzazioni che scoprono di essere state vulnerabili nel periodo in cui lo sfruttamento era noto dovrebbero quindi esaminare i log disponibili sul firewall e sui sistemi collegati, cercando attività insolite, accessi anomali e modifiche inattese alla configurazione. La profondità dell’analisi dipende dall’esposizione dell’apparato, dai servizi abilitati e dalla capacità di conservazione dei registri.
- identificare tutti gli appliance Firebox, inclusi quelli gestiti da sedi periferiche o fornitori esterni;
- applicare le versioni corrette di Fireware OS indicate da WatchGuard per il modello in uso;
- controllare che la superficie esposta su Internet sia limitata ai servizi strettamente necessari;
- rivedere log, configurazioni e credenziali amministrative se emergono indizi di accesso non autorizzato;
- coinvolgere il team di risposta agli incidenti quando non sia possibile escludere una compromissione precedente alla patch.
È importante evitare due errori frequenti. Il primo è considerare l’aggiornamento come prova dell’assenza di danni: una patch blocca lo sfruttamento futuro della specifica falla, ma non rimuove automaticamente strumenti o modifiche lasciati da un attaccante. Il secondo è concentrarsi soltanto sul dispositivo di rete. Se il firewall è stato usato come porta d’ingresso, l’analisi deve estendersi agli asset raggiungibili dall’appliance e ai sistemi che gestiscono identità, backup e infrastruttura virtuale.
Un segnale per la gestione delle vulnerabilità esposte
La vicenda conferma un modello ormai consolidato negli attacchi ransomware: gli apparati perimetrali restano un obiettivo privilegiato quando presentano falle non corrette. La disponibilità di exploit, l’esposizione pubblica e la capacità di ottenere esecuzione remota sono fattori che aumentano rapidamente l’interesse criminale, spesso prima che le organizzazioni abbiano completato il rollout degli aggiornamenti.
Per i responsabili IT e della sicurezza, il caso WatchGuard suggerisce di trattare le notifiche KEV come un indicatore distinto dalle tradizionali metriche di severità. Un inventario affidabile degli asset collegati a Internet, procedure per aggiornamenti urgenti e telemetria conservata abbastanza a lungo da sostenere un’indagine sono elementi che riducono il tempo di risposta quando una falla passa da avviso del vendor a vettore di ransomware.
Non sono stati diffusi da CISA dettagli pubblici aggiuntivi sulle campagne ransomware che sfruttano CVE-2025-9242. Proprio l’assenza di una descrizione completa delle tecniche impiegate rende prudente assumere che i tentativi possano proseguire e che la priorità debba essere la rimozione dell’esposizione. Per gli utenti WatchGuard, la questione non è più se il difetto possa essere sfruttato: le autorità statunitensi dicono che lo è già, anche con finalità ransomware.
