Er zijn drie beveiligingskwetsbaarheden ontdekt in WatchGuard AP-apparaten met firmwareversies 1.0 tot en met 3.4.7. Twee van deze kwetsbaarheden worden als kritiek beschouwd, met een CVSS v4-score van 9.3. Het gaat hierbij om CVE-2026-86102, een OS command injection-fout in de interne beheer-API-service, en CVE-2026-101891, een probleem met onjuiste toegangscontrole in een interne API-service.

De kritieke kwetsbaarheid CVE-2026-86102 maakt het voor een aanvaller met netwerktoegang mogelijk om willekeurige shell-commando's uit te voeren op het onderliggende besturingssysteem van een kwetsbaar WatchGuard AP. Dit kan zonder authenticatie of interactie van de gebruiker gebeuren. De andere kritieke kwetsbaarheid, CVE-2026-101891, stelt een ongeauthenticeerde aanvaller met netwerktoegang in staat om toegang te krijgen tot beveiligde functionaliteit, wat kan leiden tot verdere compromitteringen.

Een derde kwetsbaarheid, CVE-2026-87969, is een ernstige command injection-kwetsbaarheid met een CVSS v4-score van 8.6. Het uitbuiten hiervan vereist wel geauthenticeerde administratorprivileges. Kwetsbaarheden voor command injection zijn bijzonder zorgwekkend bij netwerkapparaten, aangezien gecompromitteerde access points kunnen dienen als toegangspunt om verder het bedrijfsnetwerk binnen te dringen.

Gevorderde aanvallers kunnen commando-uitvoering benutten voor diverse doeleinden, zoals het verzamelen van configuratiegegevens, het aanpassen van apparaatinstellingen, het implementeren van persistentie-mechanismen, het onderscheppen van netwerkverkeer of het uitvoeren van laterale bewegingen naar andere systemen. Organisaties die WatchGuard AP-firmware ouder dan versie 3.4.8 gebruiken, lopen een verhoogd risico, vooral als de apparaten toegankelijk zijn via beheer-netwerken, remote-access paden of slecht gesegmenteerde draadloze infrastructuren.

WatchGuard heeft deze drie kwetsbaarheden opgelost in versie 3.4.8 van de firmware. Organisaties wordt dringend geadviseerd om de beschikbare update naar versie 3.4.8 onmiddellijk toe te passen. Beveiligingsteams wordt geadviseerd om eerst alle geïmplementeerde WatchGuard AP-apparaten te identificeren en hun firmwareversies te verifiëren, waarbij prioriteit moet uitgaan naar het upgraden van apparaten die een release ouder dan 3.4.8 draaien.

Beheerders wordt aangeraden de toegang tot AP-beheerinterfaces en interne API-services te beperken, zodat deze alleen bereikbaar zijn vanuit vertrouwde beheerdersnetwerken. Organisaties dienen toegangslogboeken, administratieve activiteiten, het gebruik van de diagnostische CLI en configuratiewijzigingen te controleren op tekenen van onverwachte activiteit. Administratieve referenties moeten worden geroteerd als er enige indicatie is dat een AP-beheerdersaccount mogelijk is blootgesteld. Netwerksegmentatie kan de impact van een gecompromitteerd draadloos apparaat beperken door de communicatiemogelijkheden ervan met kritieke interne systemen te verminderen.

De kwetsbaarheden zijn op 28 september 2026 bekendgemaakt. Op dit moment is er geen openbaar bewijs van actieve exploitatie of een publiek beschikbare proof-of-concept voor de bekendgemaakte kwetsbaarheden.