CISA, WatchGuard Güvenlik Açığının Ransomware Saldırılarında Kullanıldığını Açıkladı

Amerika Birleşik Devletleri Siber Güvenlik ve Altyapı Güvenliği Ajansı (CISA), WatchGuard Firebox güvenlik duvarındaki kritik bir açığın ransomware çeteleri tarafından istismar edildiğini duyurdu. Bu güvenlik açığı, Aralık ayında aktif olarak istismar edildiği belirtilmişti.

Açık, CVE-2025-14733 koduyla tanımlanıyor ve yetkisiz saldırganların düşük karmaşıklıkta saldırılarla uzaktan kötü amaçlı kod çalıştırmasına olanak tanıyan bir dışarıdan yazma hatasından kaynaklanıyor. Fireware OS 11.x ve üzeri (11.12.4_Update1 dahil), 12.x veya daha yeni (12.11.5 dahil) ve 2025.1 ile 2025.1.3 arasındaki sürümleri etkiliyor.

WatchGuard, Aralık ayında CVE-2025-14733 için güvenlik yamaları yayınladığında, yamanmamış Firebox güvenlik duvarlarının yalnızca IKEv2 VPN kullanacak şekilde yapılandırıldığında saldırılara açık olduğunu belirtmişti. Ancak, bu savunmasız yapılandırmalar silinmiş olsa bile, statik bir geçit eşine sahip bir şube ofisi VPN'si yapılandırılmışsa yine de tehlikeye girilebileceği ifade edildi.

WatchGuard, saldırganların bu açığı gerçek dünyada kullandığını doğruladı ve müşterilerin Firebox cihazlarının hacklenip hacklenmediğini kontrol etmelerine yardımcı olacak ihlal göstergelerini paylaştı. İnternet güvenliği izleme grubu Shadowserver, Aralık ayında çevrimiçi olarak 115,000'den fazla yamanmamış Firebox güvenlik duvarı buldu, ve dokuz ay sonra hala 9,000 kadar örneğin güvensiz kaldığı tespit edildi.

CISA, aktif olarak istismar edilen açıklar kataloğuna yaptığı güncellemelerde CVE-2025-14733'ün artık ransomware çeteleri tarafından kullanıldığını belirtti, ancak saldırılar hakkında daha fazla ayrıntı vermedi. CISA, bu açığı Aralık ayında Bilinen İstismar Edilen Açıklar (KEV) kataloğuna eklemişti ve federal ajansların sistemlerini bir hafta içinde güvence altına almasını istemişti.

İki yıl önce, siber güvenlik ajansı, Firebox ve XTM güvenlik duvarlarını etkileyen başka bir aktif olarak istismar edilen WatchGuard açığını (CVE-2022-23176) yamalamaları için hükümet ajanslarına talimat vermişti. Daha yakın bir tarihte, Eylül 2025'te WatchGuard, CVE-2025-9242 koduyla bilinen ve CVE-2025-14733 ile neredeyse aynı olan bir RCE açığını yamalamıştı. Bir ay sonra CISA, bu açığı aktif olarak istismar edilenler arasında işaretledi ve Shadowserver, 75,000'den fazla Firebox güvenlik duvarının saldırılara karşı savunmasız olduğunu tespit etti.

WatchGuard, dünya çapında 17,000'den fazla güvenlik satıcısı ve hizmet sağlayıcı aracılığıyla 250,000'den fazla küçük ve orta ölçekli şirkete hizmet vermektedir. Genel önleme puanları, ilk erişimden sonra ne olduğunu gizleyebilir. Saldırganlar geçerli kimlik bilgilerini kullanmaya başladığında, önleme oranı keskin bir şekilde düşmektedir.