米サイバーセキュリティ・インフラセキュリティ庁（CISA）は、昨年12月に「実際の攻撃で悪用されている」として警告した、WatchGuard Fireboxファイアウォールの重大な脆弱性について、ランサムウェアグループによる悪用も確認されたと発表しました。
この脆弱性はCVE-2025-14733として追跡されており、範囲外書き込み（out-of-bounds write）に起因するものです。認証を受けていない攻撃者が、低い複雑度の攻撃で悪意あるコードをリモートから実行できてしまいます。
この脆弱性は、Fireware OS 11.x以降（11.12.4_Update1を含む）、12.x以降（12.11.5を含む）、および2025.1から2025.1.3までを実行しているファイアウォールに影響します。
WatchGuardは12月にCVE-2025-14733のセキュリティパッチを公開した際、未パッチのFireboxファイアウォールが攻撃を受けるのはIKEv2 VPNを使用する設定になっている場合のみだと説明していました。ただし、脆弱な設定を削除していても、静的ゲートウェイピアへの支店間VPN（branch office VPN）が設定されたままであれば、依然として侵害される可能性があるとも指摘しています。
WatchGuardはまた、攻撃者がこの脆弱性を実際の攻撃で悪用していることを確認し、顧客が自社のFireboxデバイスが侵害されているかどうかを確認できるよう、侵害の兆候（IoC）を公開しました。
インターネットセキュリティ監視団体のShadowserverは、12月の時点で115,00台を超える未パッチのFireboxファイアウォールがインターネット上に露出していることを発見しており、9カ月が経過した現在も約9,000台が対策されないまま残っています。
CISAは木曜日、実際に悪用されている脆弱性のカタログを更新し、CVE-2025-14733の脆弱性がランサムウェアグループによっても利用されていることが判明したと発表しましたが、その攻撃の詳細については明らかにしていません。
CISAは12月に初めて、この脆弱性を既知の悪用済み脆弱性（KEV）カタログに追加し、拘束的運用指令（Binding Operational Directive、BOD 22-01）に基づき、米連邦政府機関に対して1週間以内にシステムを保護するよう命じました。
2年前にも、同庁はFireboxおよびXTMファイアウォールに影響を及ぼす別のWatchGuardの脆弱性（CVE-2022-23176）が実際に悪用されているとして、政府機関にパッチ適用を命じています。
さらに直近では、2025年9月にWatchGuardがFireboxファイアウォールに影響するRCE脆弱性（CVE-2025-9242）にパッチを適用しており、この脆弱性はCVE-2025-14733とほぼ同一のものでした。その1カ月後、CISAはこの脆弱性を実際に悪用されているものとして分類し、Shadowserverは75,000台を超えるFireboxファイアウォールが攻撃に対して脆弱な状態にあることを発見しました。
WatchGuardは、世界中の17,000社を超えるセキュリティリセラーおよびサービスプロバイダーのネットワークを通じて、250,000社を超える中小企業にサービスを提供しています。
