WatchGuard Access Points: Drei Lücken, zwei davon kritisch – Firmware 3.4.8 einspielen

Hallo, hier ist wieder Kora. Access Points stehen selten im Rampenlicht der Security-Diskussion – dabei hängen sie mitten im Netz, oft in großer Stückzahl und meistens mit der Firmware, die beim Rollout drauf war. Genau deshalb finde ich die aktuelle Meldung von WatchGuard erwähnenswert.

Was gemeldet wurde

WatchGuard hat in drei separaten Sicherheitsmitteilungen insgesamt drei Schwachstellen in seinen Access Points offengelegt. Zwei davon sind als kritisch eingestuft, eine als hoch:

• CVE-2026-101891 (CVSS4 9.3, kritisch): Eine unzureichende Zugriffskontrolle sorgt dafür, dass Angreifer aus dem Netz ohne vorherige Anmeldung an eine gültige API-Session kommen.
• CVE-2026-86102 (CVSS4 9.3, kritisch): Über den internen API-Dienst lassen sich mit Netzwerkzugang zum AP beliebige Shell-Befehle einschleusen, die das Betriebssystem ausführt.
• CVE-2026-87969 (CVSS4 8.6, hoch): Bereits angemeldete Administratoren können über manipulierte Eingaben an der Diagnose-Kommandozeile beliebige Systembefehle ausführen.

Betroffen ist laut Hersteller die AP-Firmware ab Version 1.0. Ab Firmware 3.4.8 sind die Fehler behoben. Zum Zeitpunkt der Meldung war WatchGuard nach eigenen Angaben keine aktive Ausnutzung bekannt.

Warum die Kombination unangenehm ist

Einzeln betrachtet ist jede der Lücken schon ärgerlich. Spannend – im schlechten Sinne – wird es, wenn man sie zusammen denkt: erst ohne Anmeldung an eine gültige API-Session kommen, dann über den API-Dienst Befehle auf dem Gerät ausführen. Das ist genau der Weg vom „ich bin im Netz" zum „ich besitze das Gerät". Und ein kompromittierter Access Point ist ein hervorragender Brückenkopf: Er sieht Traffic, er steht typischerweise in einem Management-VLAN und er wird beim Monitoring gern übersehen.

Zur dritten Lücke: „Nur für angemeldete Admins" klingt harmlos, ist es aber nur so lange, wie eure Admin-Zugänge sauber sind. In Kombination mit der Authentifizierungsumgehung oder mit geleakten Credentials wird daraus schnell eine vollwertige Übernahme.

Das Detail, das ich am wichtigsten finde

WatchGuard nennt keine technischen Details und – das ist aus meiner Sicht der unangenehmere Teil – auch keine Indikatoren, woran man einen Angriff erkennen könnte. Ihr könnt also nicht sauber prüfen, ob jemand die Lücke bereits genutzt hat. Damit bleibt nur der pragmatische Weg: patchen, und zwar zeitnah, statt auf Detektion zu hoffen.

Was wir Betreibern empfehlen

• Inventar prüfen: Welche APs laufen bei euch, mit welchem Firmwarestand? Wer das nicht in zwei Minuten beantworten kann, hat gerade das eigentliche Problem gefunden.
• Auf 3.4.8 oder neuer aktualisieren – Priorität hoch, weil die kritischen Lücken ohne Anmeldung ausnutzbar sind.
• Management-Zugriff segmentieren: Die APIs und Management-Interfaces von Netzwerkgeräten gehören nicht ins Client-Netz und erst recht nicht ans offene Internet. Ein eigenes Management-VLAN mit strikten ACLs reduziert die Angriffsfläche erheblich.
• Gast- und IoT-WLANs konsequent trennen: „Netzwerkzugang zum AP" ist eine niedrige Hürde, wenn jedes Gerät im gleichen L2-Segment landet.
• Logs sichern: Auch ohne offizielle Indikatoren lohnt es, Syslog von den APs zentral wegzuschreiben – falls später doch Details nachgereicht werden.

Ein Muster, das sich wiederholt

Erst Ende August hatte WatchGuard Schadcode-Lücken in den Firebox-OS-Appliances geschlossen, über die sich die Geräte vollständig kompromittieren ließen. Das ist kein Hersteller-Bashing – solche Meldungen kommen quer durch die Branche. Es zeigt aber, wie wichtig ein fester Patch-Rhythmus für Netzwerk-Infrastruktur ist. Server und Anwendungen werden bei den meisten Teams inzwischen ordentlich gepflegt; Switches, Firewalls und Access Points laufen dagegen oft jahrelang unverändert durch, weil „sie ja funktionieren".

Bei uns im Rechenzentrumsbetrieb behandeln wir Netzwerkkomponenten deshalb in der Wartungsplanung wie jedes andere System auch: mit Inventar, Verantwortlichkeit, Wartungsfenster und dokumentiertem Rollback. Das ist unspektakulär, spart aber genau die Nächte, die man sonst mit Incident Response verbringt.

Bis demnächst, eure Kora

Quelle: heise online