CISAがWatchGuard Firebox CVE-2025-14733のランサムウェア悪用を確認 — VPN経由の認証なしRCE、侵害の痕跡確認と更新を

要点

• 米CISAは、WatchGuard Fireboxの脆弱性CVE-2025-14733 について、KEV（悪用確認済み脆弱性カタログ）でランサムウェア攻撃での悪用を「確認済み（Known）」 としている。同脆弱性は2025年12月19日にKEVへ登録された。
• CVE-2025-14733は、Fireware OSのikedプロセスにおける範囲外書き込み（CWE-787） で、CVSS v4.0基本スコアは9.3（Critical）である。IKEv2を用いるモバイルユーザーVPNと、動的ゲートウェイピア宛ての拠点間VPN が影響を受け、認証なしのリモート攻撃者が任意のコードを実行できる とWatchGuardは説明している。
• WatchGuardは野外での積極的な悪用試行を観測したと公表している。悪用後には、Fireboxの設定ファイルや管理者データベースを攻撃元IPへ送信する 2種類の挙動が確認されており、同社は侵害指標（IoA）と修正版の適用手順を公開した。

脆弱性の内容 — ikedの範囲外書き込みがVPN経由の侵入経路に

ikedは、IKEv2によるVPNネゴシエーションを担うプロセスである。WatchGuardによれば、細工されたIKEv2認証ペイロードを受け取ると範囲外書き込みが発生し、認証前の段階でコード実行に至る。対象となるのは、モバイルユーザーVPN（IKEv2）と、動的ゲートウェイピア宛ての拠点間VPN（IKEv2）の構成である。静的ゲートウェイピアのみの拠点間VPN構成でも、過去に上記構成が存在して削除された履歴がある場合は影響が残る可能性があるとしている。

影響を受けるバージョンと修正バージョンは次のとおりである（WatchGuard PSIRTの公表による）。

製品系列	影響バージョン	修正バージョン
Fireware OS Default	2025.1以上2025.1.4未満、12.0以上12.11.6未満、11.10.2〜11.12.4	2025.1.4、12.11.6、11.12.4+541730超
T15/T35	12.0以上12.5.15未満	12.5.15
FIPS	12.0以上12.3.1	12.3.1+728352以降

観測された悪用 — 設定ファイルの外部送信と侵害指標

WatchGuardは、悪用後の挙動として次の2種類を確認している。

• 設定ファイルの暗号化と外部送信: 稼働中の設定ファイルを暗号化し、攻撃元と同じIPアドレスへ送信する。
• 設定ファイルと管理者データベースのアーカイブ送信: 設定ファイルとローカル管理者データベースをgzipにまとめ、攻撃元IPへ送信する。

侵害の手がかりとして、WatchGuardは攻撃に関連するIPアドレス6件（45.95.19[.]50、51.15.17[.]89、172.93.107[.]67、199.247.7[.]82、38.252.8[.]14、94.249.197[.]106）を公開している。これらのIPへの外向き接続は侵害の強い兆候、内向き接続は偵察や悪用試行の可能性があるとしている。このほか、ikedの診断ログにおける「8件超の証明書チェーン」や「2,000バイト超のCERTペイロード」、ikedプロセスのハングやクラッシュも指標として挙げられている。

修正状況とWatchGuard・CISAが求める対応

脆弱性自体は上記の修正版Fireware OSで解消されている。WatchGuardは、修正版への更新に加え、侵害の痕跡が確認された機器では、機器に保存された全共有シークレットのローテーション が必要だとしている。直ちに更新できない場合の一時的な回避策として、IPsec/IKEv2を用いる拠点間VPNへのアクセス制限に関する推奨設定も案内している。

CISAはKEV登録に際し、インターネットに公開された全インスタンスについて対策適用後の侵害の痕跡確認 を求めている。VPN装置は組織の境界に位置し、一度奪われると内部ネットワークへの足がかりになる。Fireboxを公開している組織は、バージョンの確認とログの点検を優先したい。

出典

• https://psirt.watchguard.com/CVE-2025-14733/
• https://www.cisa.gov/sites/default/files/feeds/known_exploited_vulnerabilities.json