Falhas críticas na API do WatchGuard podem permitir execução de comandos
A WatchGuard corrigiu três vulnerabilidades que afetam seus pontos de acesso sem fio. Duas foram classificadas como críticas e podem permitir que invasores executem comandos no sistema operacional dos equipamentos. A terceira também envolve execução de comandos, mas exige que o atacante tenha privilégios administrativos válidos.
Os problemas atingem versões de firmware da 1.0 até a 3.4.7. A fabricante disponibilizou a correção na versão 3.4.8 e recomenda que os administradores atualizem os dispositivos vulneráveis.
A falha de maior gravidade é a CVE-2026-86102, avaliada em 9,3 na escala CVSS. Ela decorre de uma vulnerabilidade de injeção de comandos no serviço interno da API de gerenciamento. Um invasor que consiga alcançar o equipamento pela rede pode enviar instruções arbitrárias ao shell do sistema.
O aspecto mais preocupante é que essa exploração não depende de autenticação. Não é necessário obter uma senha, iniciar uma sessão válida ou aguardar a ação de um administrador: basta haver acesso de rede ao dispositivo vulnerável.
A segunda vulnerabilidade crítica, identificada como CVE-2026-101891, também recebeu pontuação 9,3. Nesse caso, o problema está relacionado ao controle de acesso inadequado no mesmo serviço interno. A falha pode permitir que uma pessoa sem autenticação acesse funcionalidades que deveriam estar restritas, abrindo caminho para comprometer o ponto de acesso e, potencialmente, ampliar a exposição da rede.
Já a CVE-2026-87969 tem nota 8,6 e está associada à injeção de comandos pela interface de diagnóstico em linha de comando. Ao contrário das duas falhas críticas, essa vulnerabilidade requer autenticação com privilégios de administrador.
O impacto possível vai além do próprio equipamento. Um ponto de acesso comprometido pode oferecer ao invasor uma posição estratégica dentro da rede corporativa, permitindo observar tráfego acessível ao dispositivo e tentar alcançar outros sistemas conectados. O alcance efetivo, porém, depende da configuração da rede, das permissões disponíveis e das demais proteções em uso.
A divulgação das vulnerabilidades ocorreu em 28 de setembro. Na ocasião, não havia evidências públicas de exploração ativa nem prova de conceito disponível. Ainda assim, a ausência desses indícios não elimina o risco: falhas que dispensam autenticação merecem atenção prioritária, sobretudo quando os dispositivos estão expostos a redes amplas ou pouco segmentadas.
O que os administradores devem fazer
A medida principal é atualizar os pontos de acesso afetados para o firmware 3.4.8. Antes da implantação, é recomendável identificar todos os equipamentos WatchGuard em operação, conferir suas versões e planejar a atualização para reduzir interrupções. Em ambientes maiores, a instalação pode ser feita por etapas, começando pelos dispositivos mais expostos.
Também é importante confirmar que o firmware foi aplicado corretamente e que os equipamentos voltaram a operar com a versão corrigida. A atualização de um dispositivo centralizado não garante, por si só, que todos os pontos de acesso da organização estejam protegidos; equipamentos remotos, reservas e unidades instaladas em filiais podem exigir verificação individual.
Enquanto a atualização não puder ser concluída, limitar o acesso de rede à interface de gerenciamento pode ajudar a reduzir a exposição. Sempre que possível, esse acesso deve ficar restrito a redes administrativas e a endereços autorizados. Essa medida é temporária: como duas falhas não exigem autenticação, controles de senha, sozinhos, não impedem a exploração.
A segmentação também pode conter danos caso um dispositivo seja comprometido. Separar a rede de gerenciamento, os pontos de acesso e os sistemas corporativos mais sensíveis dificulta a movimentação entre áreas. Revisar regras de firewall e permissões de comunicação ajuda a evitar que um equipamento vulnerável tenha acesso desnecessário a servidores e estações.
Depois da atualização, vale analisar registros de acesso e eventos de gerenciamento em busca de atividades incomuns, especialmente tentativas inesperadas de conexão ou comandos fora do padrão. A falta de uma evidência pública de exploração não substitui a verificação interna, principalmente em organizações que mantêm dispositivos acessíveis a partir de redes não confiáveis.
Por fim, as equipes de segurança devem registrar quais equipamentos foram identificados, atualizados e validados. Esse inventário facilita futuras respostas a incidentes e reduz a chance de pontos de acesso esquecidos permanecerem com versões vulneráveis. A correção para as três falhas está disponível no firmware 3.4.8.