La falla critica CVE-2025-14733 dei firewall WatchGuard Firebox non è più soltanto un problema teorico o un attacco “in circolazione”: secondo CISA, al 10 settembre 2026 viene sfruttata anche in campagne ransomware. Per le aziende questo significa una cosa molto semplice: se il firewall perimetrale non è stato corretto e verificato, può diventare il punto d’ingresso per bloccare l’operatività, cifrare i dati e fermare il lavoro.
Il tema riguarda in particolare PMI e uffici che usano WatchGuard per VPN e protezione di sede: parliamo di un marchio diffuso proprio nelle realtà che cercano una sicurezza solida ma gestibile. Quando un difetto colpisce il firewall, non si parla di un singolo PC compromesso, ma della porta d’accesso all’intera rete aziendale.
Cosa è successo
La notizia arriva da CISA, l’agenzia statunitense per la sicurezza informatica, che ha aggiornato il proprio catalogo delle vulnerabilità note e attivamente sfruttate confermando che la CVE-2025-14733 viene ora usata anche da gruppi ransomware.
La vulnerabilità interessa i dispositivi WatchGuard Firebox e consente, secondo le informazioni pubbliche disponibili, l’esecuzione di codice da remoto senza autenticazione. In pratica, un attaccante può tentare di eseguire codice malevolo sul firewall senza dover prima accedere con credenziali valide. È questo aspetto a rendere la falla particolarmente pericolosa: l’attacco ha bassa complessità e colpisce un apparato che, per definizione, si trova esposto e gestisce traffico critico.
WatchGuard aveva già rilasciato le correzioni di sicurezza nel dicembre 2025, e nello stesso periodo aveva confermato che la vulnerabilità veniva già sfruttata nel mondo reale. Ora però c’è un elemento ulteriore e più grave: l’associazione diretta con operazioni ransomware.
Quali versioni sono coinvolte
Secondo i dettagli riportati nelle fonti, la CVE-2025-14733 riguarda firewall con:
- Fireware OS 11.x e successivi, incluso 11.12.4_Update1
- 12.x e successivi, incluso 12.11.5
- 2025.1 fino a 2025.1.3
WatchGuard aveva precisato che i Firebox non corretti risultano vulnerabili agli attacchi se configurati per usare IKEv2 VPN. Aveva anche segnalato un punto importante spesso sottovalutato nelle verifiche interne: un dispositivo potrebbe risultare comunque compromesso anche se la configurazione vulnerabile è stata rimossa, nel caso sia ancora presente una branch office VPN verso un peer static gateway.
Questo dettaglio conta molto in azienda, perché molte infrastrutture accumulano configurazioni storiche, tunnel non più usati o impostazioni lasciate “per sicurezza” dopo cambi organizzativi, fusioni di sedi o smart working emergenziale. In questi casi il rischio non dipende solo dalla versione software, ma anche dalla pulizia reale della configurazione.
Perché il passaggio al ransomware cambia la priorità
Una vulnerabilità attivamente sfruttata è già un problema serio. Quando però le autorità confermano l’uso da parte di gruppi ransomware, il livello di urgenza sale ulteriormente.
Il motivo è pratico:
- il firewall è un bersaglio ad alto valore;
- se viene compromesso, può offrire accesso alla rete interna;
- da lì gli attaccanti possono muoversi verso server, NAS, Active Directory, postazioni e backup collegati;
- l’obiettivo finale non è solo “entrare”, ma interrompere il business e chiedere un riscatto.
Per un’impresa italiana questo si traduce in un rischio operativo molto concreto: fermo dei sistemi, indisponibilità dei documenti, impossibilità di lavorare da remoto, blocco della produzione o dei servizi amministrativi. E se l’azienda gestisce dati personali o documentazione riservata di clienti e dipendenti, il problema diventa anche organizzativo e normativo.
I numeri che fanno capire la portata del problema
Le fonti citano anche i dati di Shadowserver, che aiutano a misurare la superficie d’esposizione. Nel dicembre 2025 il gruppo aveva individuato oltre 115.000 firewall Firebox non corretti esposti online. Dopo nove mesi, risultavano ancora quasi 9.000 istanze non messe in sicurezza.
Sono numeri significativi per due motivi. Primo: dimostrano quanto sia lenta, nella pratica, l’adozione delle patch anche per apparati di sicurezza. Secondo: confermano che gli attaccanti possono contare a lungo su una base di sistemi vulnerabili, soprattutto in organizzazioni piccole o distribuite, dove il presidio IT non è continuo.
Va anche ricordato che WatchGuard serve più di 250.000 piccole e medie imprese attraverso una rete di oltre 17.000 rivenditori e provider di servizi nel mondo. Non siamo quindi davanti a un caso di nicchia: l’impatto potenziale è ampio e tocca da vicino il tessuto delle PMI.
Un problema che si ripete
C’è un altro aspetto da non ignorare: non è il primo episodio di questo tipo per WatchGuard Firebox. Le fonti richiamano infatti precedenti vulnerabilità sfruttate attivamente, tra cui CVE-2022-23176 e soprattutto CVE-2025-9242, corretta nel settembre 2025 e descritta come quasi identica alla CVE-2025-14733.
Questo non significa che il prodotto sia “insicuro per definizione”, ma suggerisce una lezione di metodo: sui firewall e sugli apparati edge non basta aggiornare ogni tanto. Serve un processo strutturato di gestione delle patch, di verifica della configurazione e di controllo degli indicatori di compromissione.
In altre parole, il rischio non si riduce con il solo acquisto del dispositivo: si riduce con una gestione continua.
Cosa significa per la tua azienda
Se in azienda usate WatchGuard Firebox, questa notizia va trattata come una verifica urgente, non come un approfondimento da rimandare. Le azioni sensate, in ordine pratico, sono queste.
1. Verificare subito modello, versione e configurazione
Controllate se i firewall in uso rientrano nelle versioni interessate e se sono presenti configurazioni IKEv2 VPN o collegamenti branch office VPN verso peer statici. Non fermatevi alla sede principale: spesso il rischio si nasconde nelle filiali, nei punti vendita o in appliance installate anni fa.
2. Applicare le patch già disponibili
La correzione non è nuova: WatchGuard l’ha pubblicata a dicembre 2025. Se un dispositivo non è stato aggiornato finora, il problema non è solo tecnico ma di processo. Serve quindi aggiornare e poi verificare che l’aggiornamento sia stato completato su tutte le unità, comprese quelle meno presidiate.
3. Cercare indicatori di compromissione
WatchGuard ha condiviso indicatori utili per aiutare i clienti a capire se un Firebox sia già stato compromesso. È un passaggio cruciale: installare la patch su un apparato già violato non elimina automaticamente le conseguenze dell’attacco. Bisogna analizzare log, accessi, configurazioni e attività anomale.
4. Rivedere gli accessi remoti
Se il firewall gestisce VPN e accessi dall’esterno, conviene approfittare del controllo per rivedere utenti, credenziali, gruppi autorizzati e tunnel non più necessari. Una superficie d’accesso più semplice è anche una superficie più difendibile.
5. Verificare i backup davvero ripristinabili
Quando si parla di ransomware, il backup è l’ultima rete di protezione. Ma solo se è separato, integro e testato. Se non avete una strategia strutturata di copie protette e ripristino, vale la pena rafforzarla con soluzioni di remote backup.
6. Formalizzare un presidio continuo
Molte PMI scoprono le falle critiche solo quando esce la notizia “grave”. Il vero salto di qualità è avere un presidio periodico su aggiornamenti, apparati, log e postazioni, ad esempio con servizi di sicurezza informatica o con un contratto di assistenza informatica che definisca tempi, responsabilità e controlli.
Non basta “avere il firewall”
Un equivoco ancora diffuso è pensare che la presenza di un firewall equivalga automaticamente a essere protetti. In realtà il firewall è un componente centrale, ma anche un componente che richiede manutenzione costante.
Quando emerge una vulnerabilità RCE su un apparato di frontiera, la domanda non è solo “abbiamo quel prodotto?”, ma anche:
- chi controlla regolarmente gli aggiornamenti critici;
- quanto tempo passa tra il rilascio della patch e l’installazione;
- chi verifica se una sede periferica è rimasta indietro;
- chi controlla se esistono tracce di compromissione;
- quanto rapidamente si possono isolare i sistemi e ripristinare i servizi.
Per un imprenditore o un office manager, questa è la chiave: la sicurezza non è un oggetto, è un processo. E gli apparati che proteggono il perimetro vanno trattati come sistemi ad alta priorità operativa.
Domande frequenti
Se ho un WatchGuard Firebox devo preoccuparmi per forza?
Non automaticamente, ma dovete verificare subito versione software, configurazioni VPN e stato delle patch. Se il dispositivo non è stato aggiornato o controllato, il rischio è concreto.
Aggiornare il firewall risolve tutto?
Risolve l’esposizione alla vulnerabilità, ma non basta se il sistema è già stato compromesso. Dopo la patch serve controllare log, configurazioni e indicatori di compromissione.
Anche una piccola azienda può essere bersaglio di questi attacchi?
Sì. WatchGuard è molto diffuso nelle PMI e i gruppi ransomware puntano spesso a realtà medio-piccole perché hanno meno presidio interno e tempi di reazione più lenti.