WatchGuard Firebox T15 y T35 llegan a fin de vida el 1 de marzo de 2027, y cinco access points se quedan sin soporte el 31 de diciembre

WatchGuard confirmó que sus firewalls de escritorio Firebox T15 y T15-W llegan a fin de vida (End of Life) el 1 de marzo de 2027. En la misma fecha vencen el T35-DW y el T35-R. Y antes, el 31 de diciembre de 2026, se quedan sin soporte cinco modelos de access points de la marca que todavía se ven en muchas oficinas.

Son equipos muy vendidos a PyMEs, sucursales y consultorios, que suelen quedarse años en el rack sin revisión. Si tu proveedor te instaló un WatchGuard de escritorio hace varios años, revisa el modelo en la etiqueta o en la consola.

Fuente: tabla de la política de fin de vida de WatchGuard (Trust Center) y el recordatorio "Firebox T15 and T15-W Reach End-of-Life in March 2027", publicado por WatchGuard el 12 de agosto de 2026. Según la misma tabla, el T35 y el T35-W "normales" ya habían llegado a fin de vida el 31 de diciembre de 2025.

Qué significa "fin de vida" para WatchGuard

La política de la marca define End of Life como el fin del desarrollo y del soporte de un producto que ya dejó de venderse. En la práctica, para un dueño de negocio se traduce en cuatro cosas:

• Se acaba el soporte técnico. Con suscripción de soporte vigente tienes atención y soporte de software "limitado" hasta la fecha de fin de vida; después, no.
• Se acaban los servicios de seguridad. Antivirus de puerta de enlace, filtrado web, IPS y demás suscripciones dejan de funcionar en esa fecha. La política advierte que las suscripciones nuevas pueden no operar en equipos que ya la pasaron.
• Se acaban las actualizaciones. Antes del fin de vida WatchGuard puede sacar parches "a su criterio"; las descargas siguen disponibles 90 días después, y luego nada.
• Se acaba la garantía de hardware. Los reemplazos por falla (RMA) solo aplican hasta la fecha de fin de vida.

Un detalle que cuesta dinero: en el último año antes del fin de vida no se ofrecen periodos co-terminados, y las renovaciones de servicios de seguridad se venden, por regla general, solo hasta un año antes. Si en diciembre te llega la cotización de renovación anual de un T15, estás pagando 12 meses por un equipo al que le quedan menos de tres.

El último parche ya salió y conviene instalarlo

El 27 de octubre de 2026 WatchGuard liberó Fireware 2026.4, 12.12.4 y 12.5.22, con correcciones de seguridad en las tres ramas, y el 3 de noviembre publicó el aviso para que los clientes actualicen. Según el aviso de la marca, 2026.4 y 12.12.4 resuelven 17 vulnerabilidades (CVE) y 12.5.22 resuelve 14. Esa rama 12.5.x es justamente la que corre en los T15, T15-W, T35-DW y T35-R; los modelos nuevos ya están en 2026.4 y los T20/T40/T80 y la serie M intermedia en 12.12.4.

WatchGuard no dijo en ese aviso si alguna de esas fallas se está explotando. Pero la historia reciente justifica la prisa: en diciembre de 2025 la marca publicó el aviso de la falla crítica CVE-2025-14733 en el servicio de VPN IKEv2, que afectaba a los Firebox con VPN móvil IKEv2 o VPN entre sucursales IKEv2 con par de puerta de enlace dinámico, incluidos los T15 y T35, y advirtió que había atacantes intentando explotarla. Un firewall con la VPN expuesta a internet es la puerta de entrada favorita del ransomware, y un equipo sin parches después de marzo de 2027 se queda con esa puerta como esté.

Otro pendiente: el 3 de noviembre WatchGuard publicó el aviso crítico WGSA-2026-0033 (CVE-2026-98432), una falla del kernel de Linux que usan Fireware y sus access points. Sigue sin corrección, aunque la marca aclara que sus equipos no activan MPTCP, de la que depende el exploit que circula; síguelo hasta que salga el parche.

Los que tienen más margen (pero no tanto)

Si tu equipo es un T20, T40, T80 o un M270, M370, M470, M570 o M670, su fin de vida es el 1 de julio de 2028; los M4600 y M5600 vencen el 1 de mayo de 2028. No es urgente para este cierre de año, pero conviene meterlo al presupuesto de 2027: si el reemplazo cae en julio de 2028, la última renovación anual de suscripciones que tiene sentido comprar es la de mediados de 2027.

Qué hacer antes de marzo

1. Haz inventario. Entra a la consola de cada sitio (o a WatchGuard Cloud) y anota modelo, número de serie, versión de Fireware y fecha de vencimiento de suscripciones. No olvides los access points: AP125, AP225W, AP325, AP327X y AP420 vencen antes, el 31 de diciembre.
2. Actualiza a 12.5.22 los T15 y T35 que sigan en operación.
3. No renueves a ciegas. Si la renovación de servicios de un equipo que vence en marzo llega en diciembre o enero, pregunta por un esquema de cambio a equipo nuevo con las suscripciones incluidas.
4. Dimensiona el reemplazo. El T115-W sugerido para el T15 corre Fireware 2026.4, que trae funciones que la rama 12.5 no tiene, como VPN entre sucursales sobre WireGuard y certificados automáticos con Let's Encrypt (en equipos administrados desde WatchGuard Cloud). Si tu internet ya es de fibra simétrica o tienes más usuarios que hace cinco años, revisa el rendimiento con inspección activada, no la cifra de la caja.
5. Planea la migración de reglas y VPN en una ventana de fin de semana, con la configuración vieja respaldada para volver atrás si algo falla.

Contexto

No es el único firewall de PyME que vence en este periodo. Los FortiGate 60E y 81E pierden soporte en diciembre y noviembre, los Check Point Quantum Spark con R81.10 se quedan sin soporte en diciembre, y en el lado de bitácoras, los FortiAnalyzer y FortiManager vencen el 30 de diciembre. Si estás comparando marcas para el reemplazo, toma en cuenta que Sophos subió precios de firewall en noviembre. Y si los access points van a cambiar de todas formas, es buen momento para revisar por qué la red de tu oficina está lenta antes de comprar.