O alerta existia.
A correção existia.
A exploração criminosa também já havia sido detectada.
Agora surgiu uma confirmação ainda mais preocupante:
grupos de ransomware estão utilizando a vulnerabilidade.
A Agência de Segurança Cibernética e de Infraestrutura dos Estados Unidos — CISA — atualizou seu catálogo de vulnerabilidades exploradas para indicar que a CVE-2025-14733, uma falha crítica em firewalls WatchGuard Firebox, passou a ser associada a:
campanhas de ransomware.
A vulnerabilidade permite, em determinadas configurações, que um atacante remoto e não autenticado consiga:
executar código arbitrário no próprio firewall.
Ela recebeu pontuação:
CVSS 9,3 de 10.
Mas existe um detalhe particularmente incômodo nesta história.
A correção está disponível desde:
18 de dezembro de 2025.
Ou seja, organizações tiveram aproximadamente nove meses para atualizar seus equipamentos antes da confirmação pública de uso por operadores de ransomware.
A manchete precisa de uma distinção importante
Não foi somente agora que a CVE-2025-14733 começou a ser explorada.
Quando a WatchGuard divulgou a vulnerabilidade em dezembro de 2025, a própria empresa já havia informado que atores maliciosos estavam:
tentando explorá-la ativamente.
A CISA também colocou a vulnerabilidade em seu catálogo KEV — Known Exploited Vulnerabilities — ainda naquele mês.
O que mudou agora é mais específico:
a CISA passou a classificar a falha como conhecida por ser utilizada em campanhas de ransomware.
Portanto, o novo desenvolvimento não é:
“hackers descobriram a vulnerabilidade agora”.
É:
uma vulnerabilidade explorada desde 2025 agora está oficialmente associada pela CISA a ransomware.
A CISA não revelou quais grupos estão explorando a falha
Até o momento, a agência americana não publicou detalhes suficientes para determinar:
qual grupo de ransomware;
quantas organizações foram comprometidas;
quais países foram atingidos;
quando começaram as campanhas;
qual ransomware foi implantado;
quanto dinheiro foi exigido das vítimas.
Portanto, seria precipitado atribuir os ataques a:
LockBit;
Qilin;
Akira;
RansomHub;
ou qualquer outra operação específica.
O que está confirmado é:
a utilização da CVE-2025-14733 em ataques relacionados a ransomware.
O problema está no processo iked
A vulnerabilidade é uma:
Out-of-Bounds Write — escrita fora dos limites de memória.
Ela existe no processo:
iked
do Fireware OS.
Esse componente está relacionado ao funcionamento de:
IKE — Internet Key Exchange.
IKE é utilizado na negociação necessária para estabelecer determinadas conexões VPN IPsec.
No caso da vulnerabilidade, o problema envolve especificamente cenários com:
IKEv2.
Uma falha de memória pode permitir controle do equipamento
Programas reservam regiões de memória para armazenar informações.
Imagine que determinada área tenha espaço para:
100 unidades de dados.
O software deveria garantir que nunca fossem gravadas:
101;
120;
Uma vulnerabilidade de escrita fora dos limites ocorre quando dados conseguem ultrapassar:
a região prevista.
Isso pode corromper memória.
Dependendo das condições, um atacante consegue manipular essa corrupção para alterar o fluxo do programa e executar:
código arbitrário.
É exatamente por isso que a CVE-2025-14733 é tão perigosa.
O ataque não exige autenticação
Segundo a WatchGuard, um atacante pode explorar a vulnerabilidade:
remotamente e sem autenticação.
Isso significa que ele não precisa necessariamente possuir:
usuário válido;
senha;
conta administrativa;
sessão VPN legítima.
Também não precisa convencer um funcionário a:
abrir anexo;
clicar em link;
executar programa.
O alvo é:
o próprio equipamento de perímetro.
E isso muda completamente a lógica do ataque
Grande parte das campanhas de ransomware começa tentando conseguir:
acesso inicial.
Phishing.
Senha roubada.
VPN comprometida.
Aplicação vulnerável.
Credenciais vendidas por Initial Access Brokers.
Uma vulnerabilidade pré-autenticação em um firewall pode oferecer outro caminho:
atacar diretamente a porta de entrada da empresa.
Firewalls Firebox são justamente equipamentos de segurança
Esse é o paradoxo.
A organização instala o equipamento para:
bloquear ataques;
filtrar tráfego;
criar VPNs;
segmentar redes;
controlar conexões.
Mas o firewall também é:
um computador executando software.
E software pode possuir vulnerabilidades.
Quando o dispositivo responsável por proteger o perímetro é comprometido, o invasor passa a ocupar uma posição extremamente privilegiada.
A vulnerabilidade afeta diferentes gerações do Fireware OS
Segundo o alerta da WatchGuard, a CVE-2025-14733 atingiu ramificações do:
Fireware OS 11.x;
Fireware OS 12.x;
Fireware OS 2025.1.
Os intervalos exatos variam conforme a versão.
Entre as versões corrigidas disponibilizadas pela empresa estão:
Fireware 2025.1.4 ou superior;
Fireware 12.11.6 ou superior;
Fireware 12.5.15 ou superior;
além da versão específica destinada a determinados ambientes FIPS.
Administradores precisam verificar a matriz oficial correspondente ao equipamento instalado.
Equipamentos antigos exigem atenção especial
Alguns dispositivos continuam executando versões antigas do Fireware.
Isso pode acontecer porque:
o hardware é antigo;
a empresa adiou migração;
existe dependência de configuração;
o equipamento ficou esquecido;
ninguém possui inventário atualizado.
Esses são justamente os casos mais perigosos.
Um firewall pode funcionar durante anos sem que alguém perceba que:
seu software ficou vulnerável.
A configuração IKEv2 é determinante
A WatchGuard explicou que a vulnerabilidade afeta cenários envolvendo:
Mobile User VPN com IKEv2
e:
Branch Office VPN com IKEv2 configurada com dynamic gateway peer.
Isso significa que não basta dizer:
“todo Firebox existente está vulnerável”.
A exposição depende de:
versão;
configuração;
histórico de configuração.
E aqui aparece uma armadilha importante
A empresa também alertou que simplesmente remover uma configuração vulnerável pode:
não ser suficiente em determinados cenários.
Um Firebox anteriormente configurado com Mobile User VPN IKEv2 ou Branch Office VPN IKEv2 com peer dinâmico pode continuar vulnerável mesmo depois da remoção dessas configurações caso ainda exista:
uma Branch Office VPN configurada para um static gateway peer.
Esse detalhe é extremamente importante para administradores.
“Desliguei a VPN vulnerável” pode não resolver
Em cibersegurança, uma configuração antiga pode deixar:
estado;
certificados;
objetos;
serviços;
componentes
que continuam influenciando o comportamento do sistema.
Por isso, a orientação não deve ser:
“desative IKEv2 e pronto”.
A solução correta é:
instalar uma versão corrigida do Fireware.
Em dezembro havia mais de 115 mil Firebox vulneráveis expostos
Quando a vulnerabilidade foi divulgada, o Shadowserver realizou varreduras na internet para identificar equipamentos potencialmente vulneráveis.
O levantamento encontrou:
mais de 115 mil Firebox sem correção expostos online.
Esse número ajuda a explicar por que a vulnerabilidade imediatamente chamou atenção de:
pesquisadores;
agências governamentais;
atacantes.
Uma falha pré-autenticação em dezenas de milhares de equipamentos de perímetro representa:
uma enorme superfície de ataque.
Nove meses depois, ainda existem aproximadamente 9 mil
A situação melhorou drasticamente.
De mais de:
115 mil
para aproximadamente:
9 mil.
Isso significa que a enorme maioria dos equipamentos detectados inicialmente:
foi atualizada;
deixou de estar exposta;
foi substituída;
ou mudou de configuração.
Mas 9 mil continua sendo:
um número enorme de potenciais alvos.
E agora existe confirmação de interesse de ransomware
É exatamente aí que a situação muda.
Antes, uma organização poderia pensar:
“a vulnerabilidade é grave, mas ainda não sabemos quem está usando.”
Agora a CISA afirma que:
ransomware está associado à exploração.
Para os aproximadamente 9 mil equipamentos ainda expostos, isso transforma uma vulnerabilidade antiga em:
uma emergência atual.
Ransomware não precisa começar com ransomware
Esse é um ponto fundamental.
O atacante não necessariamente explora o Firebox e imediatamente aparece uma tela dizendo:
“seus arquivos foram criptografados”.
O processo pode possuir várias etapas.
Primeiro:
acesso inicial.
Depois:
reconhecimento.
Descoberta de:
domínio;
servidores;
backups;
usuários;
privilégios.
Depois:
movimentação lateral.
Roubo de credenciais.
Elevação de privilégios.
Depois pode vir a exfiltração
Grupos modernos de ransomware frequentemente roubam:
documentos;
bancos de dados;
dados pessoais;
informações financeiras;
arquivos corporativos.
Isso cria uma segunda forma de pressão.
Mesmo que a empresa consiga recuperar seus sistemas:
os criminosos ameaçam publicar os dados.
Só então pode aparecer a criptografia
Em muitas operações, ransomware é apenas:
a etapa final.
Portanto, encontrar um firewall comprometido não significa procurar apenas arquivos:
.locked;
.encrypted;
ou uma nota de resgate.
É necessário investigar:
toda a cadeia pós-exploração.
Um firewall comprometido merece tratamento de incidente
Esse ponto é importante.
Se uma organização possui evidências de que seu Firebox foi explorado, simplesmente instalar o patch depois pode não ser suficiente.
O invasor pode já ter:
criado persistência;
roubado credenciais;
movimentado-se para outros sistemas;
implantado ferramentas;
extraído dados.
A atualização impede:
nova exploração da vulnerabilidade.
Ela não necessariamente remove:
o atacante que já entrou.
WatchGuard publicou indicadores de ataque
Desde dezembro, a empresa disponibilizou:
Indicators of Attack — IoAs
para ajudar clientes a identificar possíveis tentativas de exploração.
Esses indicadores precisam ser analisados pelas equipes responsáveis.
Também é importante correlacionar:
logs do firewall;
VPN;
autenticação;
EDR;
Active Directory;
servidores;
tráfego de rede.
O atacante pode tentar apagar rastros
Equipamentos de perímetro são particularmente complicados durante investigações.
Eles podem possuir:
armazenamento limitado;
logs rotativos;
sistemas operacionais proprietários;
visibilidade menor do EDR.
Isso significa que determinadas evidências podem desaparecer rapidamente.
Por isso, logs centralizados em:
SIEM;
syslog;
plataformas externas
podem ser fundamentais.
A CISA já havia dado apenas uma semana para agências federais
Quando a vulnerabilidade entrou no catálogo KEV em dezembro, órgãos civis federais americanos receberam um prazo extremamente curto para:
corrigir seus sistemas.
A razão era simples:
já existia exploração.
A inclusão no KEV não significa que toda empresa privada seja obrigada pela CISA a atualizar.
Mas funciona como um sinal muito forte para:
todo o mercado.
O catálogo KEV é praticamente uma lista de prioridades
Existem dezenas de milhares de CVEs publicados.
Nenhuma equipe consegue tratar todos com:
a mesma urgência.
Por isso, defensores precisam priorizar.
Uma vulnerabilidade presente no KEV possui uma característica decisiva:
há evidência de exploração real.
Isso é muito diferente de uma falha que existe apenas:
em teoria.
Agora existe mais um indicador de prioridade
Além de:
exploração conhecida,
a CISA passou a indicar:
uso conhecido em ransomware.
Para equipes de segurança, isso elimina praticamente qualquer argumento para adiar a atualização.
Por que alguém ainda não atualizou depois de nove meses?
Essa é uma pergunta aparentemente simples.
Mas o mundo corporativo é complicado.
Pode existir:
equipamento esquecido;
filial remota;
contrato de suporte vencido;
MSP responsável;
medo de indisponibilidade;
janela de manutenção;
hardware legado;
inventário incompleto.
Também existe um fenômeno conhecido:
“se está funcionando, não mexa.”
Em segurança, essa filosofia pode ser extremamente perigosa.
O firewall pode estar funcionando perfeitamente — para o usuário
Internet funciona.
VPN conecta.
E-mail funciona.
ERP abre.
Tudo parece normal.
Mas o equipamento pode continuar:
vulnerável.
Essa é uma das diferenças entre falha operacional e falha de segurança.
Um dispositivo comprometido pode continuar executando todas as suas funções normalmente.
E o atacante prefere assim
Um invasor não quer necessariamente:
derrubar o firewall.
Se ele derruba:
alguém percebe.
Pode ser mais útil manter:
internet funcionando;
VPN funcionando;
empresa trabalhando.
Enquanto isso:
o atacante explora silenciosamente a rede.
Edge devices viraram alvos prioritários
WatchGuard não está sozinho nesse problema.
Nos últimos anos, criminosos e grupos de espionagem passaram a mirar intensamente:
VPN gateways;
firewalls;
roteadores;
appliances de segurança;
concentradores de acesso remoto.
A razão é estratégica.
Esses equipamentos ficam:
na borda da rede.
Eles também podem não possuir EDR tradicional
Um notebook corporativo pode ter:
EDR;
antivírus;
telemetria;
monitoramento.
Um appliance de rede frequentemente utiliza:
sistema operacional próprio.
Não é possível simplesmente instalar nele o mesmo agente usado nos computadores.
Isso pode reduzir:
visibilidade defensiva.
Para ransomware, isso é extremamente atraente
Operadores precisam de:
acesso.
Um firewall vulnerável pode oferecer exatamente isso.
Depois de entrar, eles procuram:
Active Directory;
VMware;
Hyper-V;
servidores;
NAS;
backups.
O objetivo é alcançar o ponto em que possam causar:
máximo impacto.
Backup também vira alvo
Empresas frequentemente dizem:
“temos backup, então ransomware não é problema.”
Os criminosos sabem disso.
Por isso tentam localizar:
servidores de backup;
credenciais administrativas;
snapshots;
repositórios;
console de virtualização.
Antes de criptografar produção, podem tentar:
destruir a recuperação.
É isso que transforma acesso inicial em desastre
A vulnerabilidade no firewall pode ser apenas:
a primeira peça.
O verdadeiro impacto depende do que existe:
atrás dele.
Uma rede bem segmentada, com:
MFA;
privilégio mínimo;
EDR;
backups isolados;
monitoramento
pode limitar drasticamente o ataque.
Uma rede plana e com credenciais administrativas reutilizadas pode transformar uma única falha de perímetro em:
comprometimento total.
O caso também mostra que “patch disponível” não significa “problema resolvido”
Fabricantes frequentemente publicam:
correção.
A manchete diz:
“falha corrigida”.
Mas isso significa apenas:
existe uma versão segura disponível.
Não significa:
“todos os clientes estão protegidos”.
A segurança real depende da última etapa:
instalar.
Os 9 mil Firebox restantes demonstram exatamente isso
A vulnerabilidade foi:
descoberta;
documentada;
corrigida;
adicionada ao KEV;
amplamente divulgada.
Mesmo assim, nove meses depois:
milhares de sistemas continuam expostos.
É uma demonstração quase perfeita do chamado:
patching gap.
Para criminosos, equipamentos esquecidos continuam valendo dinheiro
Um ransomware não precisa encontrar:
115 mil vítimas.
Nem:
9 mil.
Se apenas uma pequena parcela dos equipamentos vulneráveis pertencer a organizações com:
dados importantes;
receita elevada;
rede mal segmentada,
já existe:
oportunidade financeira.
Pequenas e médias empresas também precisam prestar atenção
A WatchGuard possui forte presença justamente no segmento de:
pequenas e médias organizações.
Segundo a empresa, sua rede atende mais de:
250 mil pequenas e médias empresas
através de mais de:
17 mil parceiros e provedores de serviços de segurança.
Isso significa que o risco não está restrito a:
bancos;
governos;
gigantes de tecnologia.
MSPs podem ser especialmente importantes
Muitas pequenas empresas não administram o próprio firewall.
Essa tarefa fica com:
MSP;
MSSP;
revenda;
prestador de TI.
Nesses casos, o cliente precisa confirmar com seu fornecedor:
a versão realmente foi atualizada?
Não basta presumir.
O que administradores devem verificar imediatamente
O ponto inicial é identificar:
todos os Firebox existentes no ambiente.
Depois:
versão do Fireware;
configuração IKEv2;
status de atualização;
exposição à internet;
histórico de configuração.
Equipamentos afetados devem ser atualizados para versões corrigidas compatíveis com seu modelo.
Depois é necessário procurar sinais de comprometimento
Principalmente em dispositivos que permaneceram vulneráveis durante o período de exploração.
Verifique:
indicadores publicados pela WatchGuard;
conexões suspeitas;
alterações administrativas;
novas contas;
VPNs incomuns;
autenticações inesperadas;
movimentação lateral;
atividade de ferramentas administrativas fora do padrão.
Credenciais podem precisar ser rotacionadas
Se houver evidência concreta de comprometimento, é prudente considerar que:
segredos acessíveis a partir do equipamento ou durante a intrusão podem ter sido expostos.
A resposta pode exigir:
troca de senhas;
rotação de chaves;
revisão de certificados;
revogação de sessões;
análise de contas privilegiadas.
Isso deve fazer parte de um processo estruturado de:
resposta a incidentes.
A vulnerabilidade possui uma “irmã” anterior
Em setembro de 2025, a WatchGuard corrigiu outra vulnerabilidade crítica bastante semelhante:
CVE-2025-9242.
Ela também envolvia o processo:
iked
e permitia execução remota de código em determinadas configurações.
Posteriormente:
também foi observada exploração ativa.
Isso reforça a necessidade de manter esses equipamentos continuamente atualizados.
Mas não confunda as duas falhas
A vulnerabilidade atualmente marcada pela CISA como utilizada em ransomware é:
CVE-2025-14733.
Ela foi divulgada em:
dezembro de 2025.
A CVE-2025-9242 é:
outra vulnerabilidade.
Embora existam semelhanças técnicas, elas não devem ser tratadas como o mesmo problema.
O maior perigo agora é pensar que “já passou”
A falha tem:
nove meses.
Isso pode criar a impressão de:
notícia velha.
Para os aproximadamente 9 mil dispositivos ainda expostos:
não é.
Uma vulnerabilidade antiga com exploração ativa e uso confirmado em ransomware pode ser muito mais perigosa do que:
uma vulnerabilidade nova sem exploração.
Criminosos adoram vulnerabilidades antigas
Não existe obrigação de utilizar:
zero-day.
Se existe uma falha conhecida que continua funcionando:
por que gastar um zero-day?
Atacantes procuram a opção:
mais barata;
mais simples;
mais confiável.
E milhares de sistemas sem patch oferecem exatamente isso.
O ataque mais barato é aquele que a vítima já poderia ter impedido
Essa talvez seja a principal lição do caso WatchGuard.
A correção existe desde dezembro.
A exploração era conhecida.
A CISA alertou.
O fabricante publicou indicadores.
A exposição caiu de mais de 115 mil para aproximadamente 9 mil equipamentos.
Mesmo assim:
ransomware encontrou espaço.
A indústria de cibersegurança costuma dedicar enorme atenção a:
zero-days;
IA ofensiva;
malwares sofisticados;
ataques inéditos.
Mas uma parte enorme do risco continua vindo de algo muito mais simples:
um equipamento conhecido, uma vulnerabilidade conhecida e um patch que nunca foi instalado.
Agora, com a confirmação da CISA de que a CVE-2025-14733 está sendo utilizada em ransomware, organizações que ainda mantêm Firebox vulneráveis não estão mais diante de:
um risco hipotético.
Estão diante de uma falha crítica que já possui:
exploração real, interesse criminoso e associação confirmada a ransomware.
