Un pare-feu de PME, ça se pilote depuis un canapé ou depuis l'autre bout du monde, via une connexion VPN. C'est exactement cette porte-là que des gangs de ransomwares sont en train de forcer : la CISA, l'agence américaine de cybersécurité, a confirmé ce jeudi 10 septembre que la faille CVE-2025-14733 des pare-feu WatchGuard Firebox est désormais utilisée dans des campagnes de rançongiciels. Elle figure au catalogue des vulnérabilités activement exploitées, la liste officielle des failles piratées en ce moment même, pas des théories de chercheurs. On détaillait hier comment quatre autres failles venaient d’y faire leur entrée.
La faille elle-même n'est pas une nouveauté : WatchGuard l'a corrigée en décembre 2025 et l'exploitation en règle générale était déjà établie. Ce qui change, c'est l'escalade : hier, des attaquants s'en servaient pour prendre la main. Aujourd'hui, ils s'en servent pour chiffrer des entreprises et demander une rançon.
Et le sujet ne concerne pas que les administrateurs : c'est le pare-feu de ton employeur, de ta fac ou de ta mairie qui est en première ligne.
Une faille vieille de neuf mois, des piratages d'aujourd'hui
CVE-2025-14733, c'est l'identifiant officiel de la brèche. Elle se cache dans iked, le processus de Fireware OS, le système des Firebox, qui négocie les connexions VPN avec le protocole IKEv2, le standard qui établit et authentifie ces tunnels chiffrés. Un défaut d'écriture mémoire, appelé out-of-bounds write (le programme écrit hors de la zone qui lui est réservée), permet à un attaquant distant, sans compte et sans interaction, d'exécuter du code arbitraire sur le pare-feu. En clair : passer la muraille, puis la transformer en poste de commande.
Toutes les branches de Fireware OS sont concernées, de la série 11.x jusqu'à la 2025.1.3, quand le pare-feu utilise un VPN mobile avec IKEv2 ou un VPN site à site avec un pair dynamique. Détail vicieux repéré par l'éditeur : supprimer la configuration vulnérable ne suffit pas toujours, la faille peut rester présente si un tunnel vers un pair statique est encore en place.
L'ampleur donne le tournis. En décembre 2025, l'observatoire Shadowserver comptait plus de 115 000 Firebox non corrigés exposés sur Internet. Neuf mois plus tard, le même compteur en affiche encore près de 9 000. Chacun est une porte ouverte pour un ransomware.
Ce que les attaquants volent une fois entrés
WatchGuard a observé deux variantes d'attaques, décrites dans son avis de sécurité. Première variante : l'attaquant chiffre puis exfiltre le fichier de configuration actif du Firebox vers sa propre machine. Seconde variante : il emporte une archive contenant la configuration et la base locale des comptes de gestion, c'est-à-dire les clés de la maison.
Avec ces données, la suite est presque mécanique : casser les mots de passe hors ligne, revenir sur le réseau avec des accès légitimes, déployer le rançongiciel. L'éditeur recommande d'ailleurs de faire tourner tous les secrets stockés sur l'appareil dès qu'une compromission est soupçonnée, pas seulement d'installer le correctif.
La CISA n'a pas détaillé les groupes impliqués ni le nombre de victimes. Elle a simplement officialisé ce que redoutaient les spécialistes depuis des semaines : la faille sert désormais à l'extorsion à grande échelle.
✉️ Un moment, avant de continuer la lecture…
Le rendez-vous du dimanche : un extrait de la chronique « Un pavé dans la tech », les 4-5 infos qui comptent et un aperçu de la semaine à venir. Inscription gratuite, désinscription en un clic.
Ta machine est-elle concernée ?
Chez toi, tu n'as probablement pas de Firebox : ces boîtiers équipent surtout des PME, des écoles et des collectivités, et WatchGuard revendique plus de 250 000 clients de ce type dans le monde. Si tu administres le réseau d'une petite structure, ou si ton serveur auto-hébergé dépend du pare-feu d'un tiers, la question devient concrète.
Le test est rapide : vérifie la version de Fireware OS (2025.1.4, 12.11.6, 12.5.15 ou 12.3.1-b728352 et au-delà sont corrigées) et regarde si une configuration VPN IKEv2 est active. Le siège se joue là.
Les bons réflexes
La marche à suivre est simple et vaut pour tous les pare-feu exposés, pas seulement les WatchGuard.
- Mets à jour le Fireware OS vers une version corrigée, sans attendre le créneau de maintenance du mois prochain.
- Fais tourner les secrets : mots de passe d'administration, clés prépartagées VPN, certificats. Une configuration volée vit longtemps.
- Cherche des traces dans les logs du processus iked : une chaîne de certificats de plus de 8 éléments, ou un payload CERT anormalement gros (plus de 2 000 octets).
- Limite l'exposition : l'interface d'administration et les services VPN n'ont rien à faire ouverts à toute la planète.
Si un Firebox a déjà été exposé avec une configuration VPN vulnérable, pars du principe qu'il a été visité : la CISA et WatchGuard conseillent de vérifier les signes de compromission après la mise à jour, pas de se poser la question plus tard.
Le fond du problème
Cette histoire n'a rien d'inédit : le même éditeur a corrigé une faille quasi identique en septembre 2025, et la CISA avait déjà mis en garde en 2022 contre une autre brèche Firebox exploitée par des pirates liés à la Russie. Les pare-feu et les boîtiers de bord de réseau sont devenus les cibles favorites des gangs, parce qu'ils sont connectés à Internet 24 h/24 et rarement mis à jour.
Neuf mois après le correctif, 9 000 boîtiers restent vulnérables : le vrai problème n'était pas technique, il était humain. La prochaine fois qu'un avis de sécurité parle d'un pare-feu, le compte à rebours a déjà commencé.
Sources
Shadowserver, tableau de bord public des Firebox encore vulnérables (données au 8 septembre 2026).
—
Recherche, relecture et illustration assistées par IA. Le contenu reflète le travail éditorial de la rédaction.
No comments yet