Una vulnerabilidad crítica que afecta a los firewalls WatchGuard Firebox está siendo utilizada por grupos de ransomware para comprometer dispositivos vulnerables. La Agencia de Ciberseguridad y Seguridad de las Infraestructuras de Estados Unidos (CISA) ha actualizado la información sobre CVE-2025-14733, un fallo cuya explotación activa ya se conocía desde diciembre de 2025 y que ahora también ha sido relacionado con ataques de ransomware.
El problema permite que atacantes no autenticados ejecuten código malicioso de forma remota mediante ataques de baja complejidad. La vulnerabilidad se debe a una escritura fuera de límites y afecta a diferentes versiones de Fireware OS, incluidas las ramas 11.x, 12.x y 2025.1.
La nueva advertencia resulta especialmente relevante porque, nueve meses después de publicarse los parches, cerca de 9.000 dispositivos vulnerables continúan expuestos en Internet.
Los grupos de ransomware ya explotan CVE-2025-14733
CISA ha actualizado su catálogo de vulnerabilidades explotadas conocidas (KEV) para señalar expresamente que CVE-2025-14733 está siendo utilizada por grupos de ransomware.
Por el momento, la agencia estadounidense no ha proporcionado información sobre qué familias o grupos están aprovechando el fallo, cuáles son sus objetivos o qué ocurre después de conseguir acceso a los dispositivos.
La vulnerabilidad no es nueva. WatchGuard publicó actualizaciones de seguridad en diciembre de 2025 y confirmó entonces que el fallo ya estaba siendo explotado activamente. La compañía también proporcionó indicadores de compromiso para ayudar a sus clientes a comprobar si sus dispositivos habían sido atacados.
CISA incorporó igualmente la vulnerabilidad a su catálogo KEV en diciembre y ordenó a las agencias federales estadounidenses afectadas proteger sus sistemas en el plazo de una semana.
La novedad ahora es la confirmación de que la explotación ha pasado a formar parte también de operaciones vinculadas al ransomware.
Qué dispositivos WatchGuard están afectados
CVE-2025-14733 afecta a firewalls que ejecutan Fireware OS 11.x y posteriores, 12.x y posteriores, así como las versiones comprendidas entre 2025.1 y 2025.1.3. Entre las versiones expresamente mencionadas se encuentran 11.12.4_Update1 y 12.11.5.
Cuando WatchGuard publicó los parches explicó que los Firebox sin actualizar eran vulnerables si estaban configurados para utilizar IKEv2 VPN.
Sin embargo, existe un detalle importante para los administradores: eliminar posteriormente una configuración vulnerable no garantiza necesariamente que el dispositivo deje de estar expuesto. Según WatchGuard, determinados equipos podrían seguir siendo susceptibles de compromiso si permanece configurada una VPN de sucursal hacia un peer de gateway estático.
Cerca de 9.000 firewalls siguen expuestos
El tiempo transcurrido desde la publicación del parche no ha eliminado el problema.
En diciembre de 2025, Shadowserver detectó más de 115.000 firewalls Firebox sin parchear expuestos en Internet. Nueve meses después, cerca de 9.000 instancias continúan sin estar protegidas frente a CVE-2025-14733.
La cifra resulta especialmente significativa ahora que CISA confirma la utilización de la vulnerabilidad por parte de operadores de ransomware. Los dispositivos perimetrales son objetivos especialmente atractivos porque pueden proporcionar una primera vía de entrada hacia las redes corporativas.
Además, al tratarse de una vulnerabilidad explotable sin autenticación, el atacante no necesita disponer previamente de credenciales válidas para intentar aprovecharla.
No es la primera vulnerabilidad grave que afecta a Firebox
WatchGuard ya ha tenido que solucionar otros fallos de ejecución remota de código en sus dispositivos.
En septiembre de 2025, la compañía corrigió CVE-2025-9242, otra vulnerabilidad RCE que afectaba a los firewalls Firebox y que presentaba grandes similitudes con CVE-2025-14733.
Un mes después, CISA también clasificó aquel fallo como explotado activamente. Shadowserver llegó a contabilizar más de 75.000 dispositivos WatchGuard vulnerables expuestos a Internet.
El alcance potencial de estos problemas es relevante: WatchGuard presta servicios a más de 250.000 pequeñas y medianas empresas a través de una red mundial formada por más de 17.000 distribuidores y proveedores de servicios de seguridad.
La prioridad para las organizaciones que utilicen WatchGuard Firebox es comprobar inmediatamente la versión de Fireware OS e instalar las actualizaciones de seguridad disponibles si todavía mantienen sistemas afectados.
