WatchGuard stellt Firewalls her, die man in vielen kleinen und mittleren Betrieben findet: eine Box, die das Firmennetz vom Internet trennt und die VPN-Verbindungen fürs Homeoffice bereitstellt. Am 27. Oktober hat der Hersteller 18 Lücken in der Firewall-Software Fireware OS und im VPN-Programm für Windows geschlossen. Sieben davon sind als kritisch eingestuft. Das deutsche CERT-Bund bewertet die Warnung insgesamt mit 10 von 10.
Angriffe sind laut WatchGuard bisher keine bekannt, und die US-Behörde CISA führt keine der Lücken in ihrer Liste der ausgenutzten Lücken (Stand 1. November). Das kann sich bei Firewalls schnell ändern. Sie stehen direkt am Internet und sind darum ein beliebtes Ziel.
Nicht jede kritische Lücke betrifft jede Firewall
Der zweite Blick lohnt sich. Mehrere der kritischen Lücken greifen nur, wenn eine bestimmte Funktion eingerichtet ist.
Access Portal: Darüber greifen Mitarbeitende von aussen auf interne Anwendungen zu. Ist es eingeschaltet, kann ein Angreifer ohne Anmeldung eine präparierte Anfrage schicken.
SIP-Proxy: Er wird für Internet-Telefonie eingesetzt. Auch hier reicht eine präparierte Anfrage ohne Anmeldung, um fremden Code auszuführen.
FireCluster: Zwei Firewalls im Verbund gleichen sich ab, und dieser Abgleich prüft nicht, wer spricht.
Anmeldung über Active Directory: Wer die Firewall für VPN-Anmeldungen mit dem Windows-Verzeichnis verbindet, ist betroffen, wenn ein Angreifer die Antworten des Verzeichnisservers verfälschen kann.
Zwei weitere kritische Lücken betreffen Sonderfälle, die in kleinen Betrieben selten sind. Und eine trifft jede Firewall, deren Verwaltungsoberfläche erreichbar ist: Sie lässt sich ohne Anmeldung zum Absturz bringen. Der Datenverkehr läuft dabei weiter, aber verwalten lässt sich das Gerät nicht mehr. Das ist ein Grund mehr, die Verwaltung nicht aus dem Internet erreichbar zu machen.
Das alles heisst nicht, dass man sich das Update sparen kann. Es heisst nur, dass sich die Dringlichkeit danach richtet, was auf der eigenen Firewall eingeschaltet ist.
Das Update gibt es nur mit Abo
Hier liegt der Punkt, der in den Meldungen fehlt. Bei WatchGuard hängt das Recht auf neue Firewall-Software am Support-Abo. Läuft es ab, arbeitet die Firewall weiter wie bisher. Aber laut WatchGuard lässt sich dann keine Fireware-Version mehr installieren, die nach dem Ablaufdatum erschienen ist. Die Korrekturen vom 27. Oktober bekommt also nur, wessen Abo an diesem Tag noch lief.
Das ist dasselbe Muster wie bei Elementor Pro im September: Das Produkt funktioniert ohne Abo weiter, nur die Sicherheitsupdates bleiben aus. Bei einer Firewall wiegt das schwerer, weil sie das einzige Gerät ist, das zwischen Internet und Firmennetz steht.
Wie es dazu kommt, ist meist unspektakulär. Die Firewall wurde vor Jahren mit einem Abo für ein oder drei Jahre eingerichtet. Sie läuft, niemand muss sich um sie kümmern, und die Verlängerung ist irgendwann eine Rechnung, deren Zweck niemand mehr genau kennt.
Was jetzt zu tun ist
Version nachsehen. In der Weboberfläche der Firewall steht die Fireware-Version auf der Übersichtsseite. Geschützt sind 2026.4 und 12.12.4, bei den kleinen Modellen T15 und T35 die Version 12.5.22.
Abo prüfen. In der Weboberfläche unter «System» zeigt der Abschnitt «License Information», bis wann der Support läuft. Ist er abgelaufen, muss er zuerst verlängert werden, sonst lässt sich das Update nicht einspielen.
Funktionen prüfen. Access Portal, SIP-Proxy, Anmeldung über Active Directory: Was nicht gebraucht wird, abschalten. Das ersetzt das Update nicht, verkleinert aber die Angriffsfläche, bis es eingespielt ist.
VPN-Programm aktualisieren. Das Windows-Programm für die VPN-Verbindung ist ebenfalls betroffen, wenn auch weniger schwer. Die korrigierte Version ist 2026.4.
Beim IT-Partner nachfragen. Wer die Firewall betreuen lässt, fragt: Ist das Update vom 27. Oktober eingespielt, und bis wann läuft unser Support-Abo? Eine gute Antwort enthält eine Versionsnummer und ein Datum.