JPCERT/CCは2026年9月2日に公開した週次レポートで、複数のWatchGuard製品に脆弱性があることを伝えた。同社の製品セキュリティ情報を確認すると、8月下旬に公表されたものだけで30件に達し、うち複数は脆弱性の深刻度を示すCVSSの基本値が9点台で、「緊急」に区分されている。対象はファイアウォール製品「Firebox」のVPN処理、端末に常駐する管理エージェント、ログ管理製品の3系統に及ぶ。このうち一部は認証を経ずにコードを実行される可能性が示されており、修正版の適用が呼びかけられている。
JPCERT/CCが週報で取り上げた
JPCERT/CCはWeekly Report 2026-09-02号で、8月23日から29日までのセキュリティ関連情報として「複数のWatchGuard製品に脆弱性」を挙げた。情報源にはWatchGuardのPSIRT（製品セキュリティインシデント対応チーム）が公開したCVE-2026-57909のアドバイザリを示し、修正済みバージョンへの更新で問題は解決するとしている。
WatchGuard PSIRTが公開しているアドバイザリを辿ると、この期間に公表された脆弱性は8月25日の2件と8月27日の28件、合わせて30件だった。対象製品は大きく3つに分かれる。Windows向けの管理エージェント「WatchGuard Agent」が2件、Fireboxを動かす「Fireware OS」が12件、ログ管理・レポート製品「WatchGuard Dimension」が16件である。
深刻度9.4はエンドポイント側のエージェント
8月25日に公表された2件は、いずれもWatchGuard Agentに関するものだ。
CVE-2026-57909はパストラバーサルの脆弱性で、CVSS v4.0の基本値は9.4。隣接ネットワーク上にいる攻撃者が、認証を経ずに任意のコードを実行できるとされる。もう1件のCVE-2026-57910は不適切な認証（同9.3）で、UDPによるディスカバリ／コマンドサービスとTaskExecuteイベントハンドラを悪用し、攻撃者が用意したプログラムをダウンロード・実行させることが可能とされる。WatchGuardの説明では、この実行は多くの場合rootまたはSYSTEM権限で行われる。
影響を受けるのはWindows版のバージョン1.25.13.0000より前で、修正版は1.25.13.0000（提供系統によっては1.17.02.0000、1.17.21.0000）。WatchGuardは、いずれについても実際に悪用された事例は把握していないとしている。
端末を守るために配布したエージェントが、そのまま最高権限での侵入口になりうる構図であり、更新の優先度は高い。
VPN接続を処理するプロセスに集中
8月27日公表分のうちFireware OSの12件は、その多くがikedプロセスに関するものだった。ikedはIKEv2によるVPN接続の確立を担う常時動作のプログラム（デーモン）で、外部からの通信を最初に受け取る位置にある。
このうちCVE-2026-19313、CVE-2026-19315、CVE-2026-19318の3件はCVSS 9.3で、未認証のリモート攻撃者による任意コード実行の可能性が示されている。たとえばCVE-2026-19318は、IKE_SA_INITを完了した攻撃者がEAP-MSCHAPv2ペイロードの長さフィールドを過小に細工したIKE_AUTHメッセージを送ることで、スタックバッファオーバーフローを引き起こすというものだ。
ただしWatchGuardは、CVE-2026-19318の悪用には「IKEペイロードの診断ログ出力」という運用上のトラブルシューティング設定が有効になっている必要があると明記している。この設定は障害の切り分けのために一時的に有効化されることがあり、戻し忘れた環境は条件を満たしてしまう点に注意したい。残る9件は認証なしのサービス妨害（DoS）やバッファオーバーフローなどで、CVSSは6.9から9.3の範囲に分布している。
修正版はFireware OS 2026.3.1、2026.2.2、12.12.2で、T15／T35については12.5.20が案内されている。
管理・レポート製品にも16件
Dimensionで公表された16件は、SQLインジェクション3件（いずれもCVSS 8.6）、診断ログにセッショントークンが露出することによるセッション奪取（9.3）、管理者パスフレーズ変更エンドポイントのクロスサイトリクエストフォージェリ（8.4）、サービス妨害（8.7）などが並ぶ。影響を受けるのはバージョン2.0以上2.3.1未満で、修正版は2.3.1。
Dimensionはファイアウォールのログを集約して可視化する製品であり、社内向けに閉じて運用されていることが多い。だが管理者権限が奪われれば、ログの改変によって攻撃の痕跡を消される恐れもある。外部公開していないという理由で更新を後回しにしてよい種類の製品ではない。
「境界とエージェント」は狙われた実績がある
今回公表された脆弱性について、WatchGuardは実際の悪用を確認していないとしている。それでも軽視できないのは、同じikedプロセスが過去に現実の攻撃対象になっているからだ。
2025年9月に公表されたFireware OSのCVE-2025-9242（境界外書き込み、CVSS 9.3）は、未認証の攻撃者による任意コード実行を許すもので、米CISA（サイバーセキュリティ・インフラセキュリティ庁）は同年11月12日、悪用が確認された脆弱性を集めたKEVカタログにこれを追加した。VPNの入口を処理するコンポーネントは、攻撃者にとって初期侵入の足がかりとして価値が高い。
ファイアウォールや管理エージェントは、導入したあとは意識されにくい。しかし境界機器の乗っ取りやエージェントを介した権限奪取は、そこから内部へ横展開されるまで気づきにくいという点で、被害が大きくなりやすい経路でもある。自組織で稼働している機器とエージェントのバージョンを棚卸しし、修正版の適用計画を立てるとともに、侵入後の不審な挙動を検知・追跡できる体制を用意しておくことが現実的な備えになる。
同じ手口に、自社は備えられていますか？