CVE-2026-13368 WatchGuard Fireboxの事前認証RCE。IKEv2のLDAP認証に潜む競合状態とuse-after-freeを読む

WatchGuardのFirebox向けOSであるFireware OSに、認証を通さずに機器上でコードを実行されうる脆弱性CVE-2026-13368が見つかりました。効く条件は限定的で、Mobile User VPN with IKEv2を外部のLDAPサーバで認証するよう構成しているFireboxに限られます。ただし成立すると、VPNのトンネル交渉を担うikedプロセスのコンテキストで攻撃者のコードが動きうる点が問題です。境界に置かれた防火壁でこれが起きる重みは後述します。原因は、LDAP認証の処理中に起きる競合状態(race condition)によって、ikedが解放済みのメモリを参照してしまうuse-after-free(CWE-416)です。この記事は、何がどう壊れるのかという機構と、公式アドバイザリにもとづく影響判定と対応を整理します。

対象読者は、Fireboxを境界防御やリモートアクセスVPNの基盤として運用する情報システムやインフラの担当者です。攻撃を再現するペイロードや手順は示しません。記述はWatchGuardの公式アドバイザリWGSA-2026-00023、NVD、MITRE CWE、および公開後の報道にもとづき、事実は執筆時点(2026年7月21日)で確認できた範囲に限ります。検証は自組織が管理する機器に対してのみ行う前提です。

CVE-2026-13368の基本情報#

CVE-2026-13368は、WatchGuardのFireware OSに存在する、LDAP認証処理の競合状態に起因するuse-after-freeです。脆弱性の分類はCWE-416(Use After Free)で、深刻度はCVSS 4.0で9.2(Critical)と評価されています。攻撃には事前の認証も利用者操作も要らず、ネットワーク経由で到達できます。

WatchGuardのPSIRTは2026年7月2日にアドバイザリWGSA-2026-00023を公開し、その後7月16日に内容を更新しました。CVSSベクトルはAV:N(ネットワーク)、PR:N(権限不要)、UI:N(操作不要)で事前認証の到達性を示す一方、AC:H(攻撃複雑度が高い)とAT:P(攻撃要件あり)が付いています。AT:Pは、後述する競合状態のタイミングを突く必要があることを反映します。外部LDAP認証という構成前提は、CVSSの基本指標ではなく、脆弱性が成立する前提条件として別に押さえます。AC:Hの具体的な根拠はWatchGuardが明示していないため、ここでは攻撃複雑度が高い評価であるとだけ述べます。

NVDはCVE-2026-13368を、Mobile User VPN with IKEv2のLDAP認証における競合状態に起因するuse-after-freeと記載し、CWE-416、CVSS 4.0で9.2(Critical)、ベクトルをCVSS:4.0/AV:N/AC:H/AT:P/PR:N/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:NとするWatchGuard(CNA)の評価を掲載しています(NVD独自の再評価は執筆時点で未反映)。

攻撃が成立する構成条件#

この脆弱性が効くかどうかは、FireboxのVPN構成で決まります。成立の前提は、Mobile User VPN with IKEv2を有効にし、その利用者認証を外部のLDAPサーバに委ねている構成です。ローカル認証や別方式の外部認証を使っている場合、この経路の攻撃面は生じません。

FireboxのikedはIKEv2(RFC 7296で定義されるInternet Key Exchange version 2)の認証交渉を担い、VPNトンネルの確立を処理します。Mobile User VPNクライアントを外部LDAPで認証する構成では、認証処理が外部LDAPサーバへの問い合わせと応答の待ち合わせを伴います。この待ち合わせを含む認証処理の並行動作に、狙われる隙間が生まれます。なお、iked内部のどの関数がどの順で動くかといった実装の詳細は公式アドバイザリに記載がないため、ここでは機構の概略にとどめます。

したがって影響判定の出発点は、自組織のFireboxがMobile User VPN with IKEv2を外部LDAP認証で使っているかどうかの確認です。IKEv2の交渉は、その設計上、身元を確かめる前の段階から未認証の通信に開かれています。つまり攻撃者と脆弱なコード経路のあいだに認証の壁がなく、外部LDAP構成であれば事前認証で到達されます。

競合状態がuse-after-freeに至る機構#

問題の核心は、LDAP認証を待つあいだのメモリの扱いにあります。外部LDAP認証の処理が進む最中に、攻撃者がタイミングを突いて競合を起こすと、処理の順序が想定とずれます。このずれによって、ikedは本来まだ使うはずのメモリ領域を解放したあとに、その同じ領域を参照してしまいます。解放済みのメモリを指し続けるこの状態がuse-after-freeです。

use-after-freeが危険なのは、解放された領域が別の用途に再利用されうるからです。攻撃者がそのタイミングで解放済み領域に自分の制御下のデータを置ければ、ikedはそのデータを正規の内部状態と取り違えて処理を進めます。制御されたデータを介して実行の流れを乗っ取られると、ikedプロセスの権限で任意のコードが動きます。AC:HとAT:Pという評価は、この乗っ取りが解放と再確保のタイミングを正確に突く必要があるために付いたものです。

MITRE CWE-416は、解放済みメモリへの参照が、有効なデータの破損や任意コード実行につながりうる欠陥であると定義し、競合状態を伴う場合に解放と参照の順序が入れ替わって発生しうる点を挙げています。

ikedの掌握が境界防御の掌握になる理由#

ikedは、FireboxのIKE/IKEv2ベースのVPNトンネル交渉を担うプロセスです。公式アドバイザリが確認しているのは、このikedプロセスのコンテキストでの任意コード実行までです。とはいえ、境界に置かれVPNを終端する装置上でコード実行の足場を得られること自体が、ネットワーク境界に対する重大な影響につながりえます。

境界に置かれた防火壁への事前認証コード実行は、内部ネットワークの脆弱性とは重みが異なります。攻撃者に必要なのは装置のVPNポートへの到達性だけで、そのポートは通常インターネット側へ開かれています。資格情報もフィッシングも内部への先行侵入も要りません。VPNを終端する機器を奪われると、暗号化通信の傍受や改ざん、保存された秘密情報の窃取、内部への横展開、防火壁ポリシーの改変による居座りといった影響につながりえます。境界に露出するエッジ機器が狙われる背景と守り方の全体像は次の記事で整理しています。

あわせて読みたい

境界に置くエッジ機器の脆弱性が侵入口として狙われる理由

影響を受けるバージョンと修正版#

影響と修正の対応は次の表のとおりです。バージョン番号はWGSA-2026-00023の記載にもとづきます。

対象はFireboxの現行製品群のほぼ全体に及び、FireboxVやFirebox Cloudといった仮想プラットフォームも含まれます。T15とT35は旧世代のハードウェアで12.5.x系までしか動かないため、公開当初は12.5.x系の修正版が未提供で、この2機種だけ手当てが遅れました。7月16日に更新されたアドバイザリの修正表では12.5.19が該当機種の修正版として示されています。一方で11.x系はすでにサポート終了(EOL)しており、CVE-2026-13368を含めどの脆弱性にも修正提供の対象外です。11.x系を使い続けている場合は、パッチ適用ではなくサポート対象のハードウェアと系列への移行で対処する必要があります。

WGSA-2026-00023は、修正版として2025.1系を2026.2.1、12.x系を12.12.1、T15とT35の12.5.x系を12.5.19で解決するとし、11.x系はEnd of Lifeで修正提供なし、回避策(Workaround)は提供なしと明記しています。

悪用状況とKEVの扱い#

CVE-2026-13368について、執筆時点(2026年7月21日)では実際の悪用は確認報告されていません。公開当初のアドバイザリにも侵害の痕跡(IoC)は載っておらず、悪用が観測されたとの記載もありません。CISAのKnown Exploited Vulnerabilities(KEV)カタログを確認しても、CVE-2026-13368は執筆時点で未収録です。

ただし、この楽観は前例と照らして読む必要があります。CVE-2026-13368は、同じikedプロセスにこの約10か月で見つかった3件目の事前認証RCEです。2025年9月のCVE-2025-9242(境界外書き込み、CVSS 9.3)は公開時点で悪用の証拠がないとされましたが、その後に実悪用が確認され、KEVへ収録されました。2025年12月のCVE-2025-14733(境界外書き込み、CVSS 9.3)は、公開日の時点ですでに悪用されているゼロデイでした。いずれも公開から悪用までの猶予が短く、内部スキャンでは10万台を超えるFireboxがインターネットに露出していたと報じられています。CVE-2026-13368に現時点の悪用証拠がないことは、対応を遅らせてよい理由にはなりません。公開から悪用までの時間が短い脆弱性が増えている背景と、ゼロデイという言葉が指す範囲は次の記事で整理しています。

あわせて読みたい

ゼロデイ脆弱性とは。検知が難しい攻撃にどう備えるか

先行2件がKEVに収録され是正期限の対象になった経緯を踏まえると、CVE-2026-13368も今後収録される可能性があります。KEVへの収録有無やEPSSのスコアを使って対応の優先順位を組み立てる考え方は次の記事で整理しています。

あわせて読みたい

脆弱性対応の優先順位付け。CVSSだけに頼らないEPSSとCISA KEVの使い方

TechTimesは、CVE-2026-13368がFireboxのIKEv2 VPNスタックで約10か月に3件目の事前認証RCEであること、2026年7月4日時点で実悪用の確認報告はないこと、外部LDAP認証を使うMobile User VPN with IKEv2という構成前提があることを報じています。

自組織のFireboxを確認する手順#

まず自組織の構成が攻撃条件に該当するかを見極め、そのうえで修正版へ更新します。該当しない構成でも、ikedは複数のCVEの舞台になってきたため、更新の優先度は高く保つのが妥当です。

構成の確認を先に置くのは、攻撃面の有無で緊急度が変わるためです。外部LDAP認証のMobile User VPN with IKEv2を使っている環境は、事前認証の経路が外部に開いているため優先的に更新します。

パッチ提供までの暫定的な緩和#

WGSA-2026-00023は回避策を提供なしとしており、ファームウェアの更新が唯一の確実な是正手段です。したがって基本方針は、該当する修正版への速やかな更新になります。

そのうえで、更新をすぐに適用できない事情がある場合や、変更管理の窓口が空くまでのあいだの手当てとして、攻撃条件そのものを外す補償的統制を検討できます。この脆弱性は外部LDAP認証のMobile User VPN with IKEv2という構成でだけ成立するため、運用上可能であれば当該VPNの外部LDAP認証を一時的に別方式へ切り替える、VPNを終端するインターフェースやIKEポートの露出を必要最小限に絞る、といった措置が攻撃面を狭めます。これらは公式の回避策ではなく、更新までのリスク低減として位置づけるもので、修正版の適用に代わるものではありません。11.x系のようにサポート終了で修正が出ない機器では、暫定緩和ではなくハードウェアの更改が本質的な対処になります。サポート切れのエッジ機器を境界に置き続けることの問題は、規制上も運用上も次第に重くなっています。

確認チェックリスト#

対応の抜けを防ぐための確認項目を整理します。

CVE-2026-13368は、効く条件こそ外部LDAP認証のMobile User VPN with IKEv2に限られるものの、成立すれば境界防火壁のikedを事前認証で奪える脆弱性です。同じikedで短期間に3件目という経緯を踏まえ、現時点で悪用証拠がなくても、構成の確認と修正版の適用を先送りしない判断が妥当です。回避策は提供されていないため、ファームウェア更新を軸に、更新までのあいだは攻撃条件を外す補償的統制で露出を抑えます。