미국 사이버보안 기관 CISA가 WatchGuard Firebox 방화벽의 심각한 원격 코드 실행(RCE, 공격자가 인터넷을 통해 장비에 악성 코드를 직접 실행할 수 있는 공격) 취약점(CVE-2025-14733)이 랜섬웨어 조직에 의해 실제로 악용되고 있다고 공식 확인했습니다. 이 취약점은 로그인 없이도 공격이 가능하며, Fireware OS 11.x, 12.x 및 2025.1 버전의 방화벽이 영향을 받습니다. 패치는 이미 작년 12월에 배포됐지만, 9개월이 지난 현재도 약 9,000개의 장비가 패치 없이 인터넷에 노출된 상태입니다. WatchGuard는 침해지표(IoC)를 공개했으며, 관련 제품 사용 기업은 즉시 패치 적용과 침해 여부 확인이 필요합니다. 비슷한 구조의 추가 취약점(CVE-2025-9242)도 별도로 활발히 악용 중이어서 각별한 주의가 요구됩니다.
CISA가 WatchGuard Firebox 방화벽의 원격 코드 실행 취약점(CVE-2025-14733)이 랜섬웨어 조직에 의해 실제 악용되고 있음을 공식 확인했다. 해당 취약점은 인증 없이도 낮은 난이도의 공격으로 원격 코드 실행이 가능하다.
전 세계 25만 개 이상의 중소기업에 서비스를 제공하는 WatchGuard 제품이 대상으로, 패치 배포 9개월 후에도 약 9,000개의 Firebox 방화벽이 여전히 무방비 상태로 인터넷에 노출되어 있다. 유사 취약점 CVE-2025-9242도 75,000개 이상의 장비에 영향을 미치고 있다.
Fireware OS의 범위 초과 쓰기(out-of-bounds write) 결함이 원인이며, IKEv2 VPN 설정을 사용하는 환경이 주요 공격 대상이다. 취약한 설정을 삭제한 이후에도 브랜치 오피스 VPN이 정적 게이트웨이 피어로 구성되어 있으면 침해될 수 있다.
WatchGuard는 2024년 12월 보안 패치를 배포하고 침해지표(IoC)를 공개했다. CISA는 해당 취약점을 KEV(알려진 악용 취약점) 목록에 등재하고 미국 연방기관에 1주일 내 패치를 의무화했다.
IKEv2 VPN 설정 삭제 여부와 무관하게 브랜치 오피스 VPN 구성이 남아 있다면 여전히 취약할 수 있으므로, 즉시 최신 Fireware OS로 업데이트하고 WatchGuard가 공개한 IoC로 침해 여부를 확인해야 한다. CVE-2025-9242도 동시에 점검할 것을 권고한다.
본문
미국 사이버보안 및 인프라 보안국(CISA)은 랜섬웨어 조직들이 WatchGuard Firebox 방화벽의 심각한 취약점을 악용하고 있음을 확인했다. CISA는 해당 취약점을 지난 12월 활발히 악용되고 있다고 경고한 바 있다.
이 취약점은 CVE-2025-14733으로 추적되며, 범위 초과 쓰기(out-of-bounds write) 결함에서 비롯된다. 이를 통해 인증되지 않은 공격자가 낮은 복잡도의 공격으로 원격에서 악성 코드를 실행할 수 있다.
이 취약점은 Fireware OS 11.x 이상(11.12.4_Update1 포함), 12.x 이상(12.11.5 포함), 그리고 2025.1부터 2025.1.3까지의 버전을 실행하는 방화벽에 영향을 미친다.
WatchGuard는 지난 12월 CVE-2025-14733 보안 패치를 배포하면서, 패치되지 않은 Firebox 방화벽은 IKEv2 VPN을 사용하도록 구성된 경우에만 공격에 취약하다고 밝혔다. 다만, 취약한 설정이 삭제된 이후에도 브랜치 오피스 VPN이 정적 게이트웨이 피어로 구성되어 있을 경우 침해될 수 있다고 경고했다.
WatchGuard는 또한 공격자들이 해당 취약점을 실제로 악용하고 있음을 확인하고, 고객이 자사 Firebox 장비의 침해 여부를 점검할 수 있도록 침해지표(IoC)를 공유했다.
인터넷 보안 감시 단체 Shadowserver는 지난 12월 패치되지 않은 Firebox 방화벽 115,000대 이상이 온라인에 노출된 것을 발견했으며, 9개월이 지난 현재도 약 9,000대가 보안 조치 없이 노출된 상태다.
온라인에 노출된 취약한 WatchGuard 방화벽 현황 (Shadowserver)
CISA는 목요일 활발히 악용되는 취약점 목록(카탈로그) 업데이트를 통해 CVE-2025-14733 취약점이 현재 랜섬웨어 조직에 의해 사용되고 있다고 밝혔으나, 구체적인 공격 세부 사항은 공개하지 않았다.
CISA는 지난 12월 해당 취약점을 알려진 악용 취약점(KEV) 카탈로그에 처음 등재하면서, Binding Operational Directive(BOD) 22-01에 따라 미국 연방기관에 1주일 내 시스템 보안 조치를 명령했다.
2년 전에도 CISA는 정부 기관에 Firebox 및 XTM 방화벽에 영향을 미치는 또 다른 WatchGuard 취약점(CVE-2022-23176)을 패치하도록 명령한 바 있다.
최근에는 2025년 9월 WatchGuard가 Firebox 방화벽에 영향을 미치는 RCE 취약점(CVE-2025-9242)을 패치했는데, 이는 CVE-2025-14733과 거의 동일한 구조를 가지고 있다. 한 달 후 CISA는 해당 취약점이 활발히 악용되고 있다고 표시했으며, Shadowserver는 75,000개 이상의 Firebox 방화벽이 공격에 취약한 상태임을 확인했다.
WatchGuard는 전 세계 17,000개 이상의 보안 리셀러 및 서비스 제공업체 네트워크를 통해 250,000개 이상의 중소기업에 서비스를 제공하고 있다.
관련 투런 솔루션
이 뉴스의 취약점·위협, 투런 솔루션으로 대응하세요.
