Angreifer nutzen eine Schwachstelle durch OS-Command-Injection in SiteGuard Server Edition aus, einer hostbasierten Web Application Firewall. Eine erfolgreiche Ausnutzung kann es ermöglichen, dass Befehle mit root-Rechten auf Linux- und Unix-Systemen oder mit SYSTEM-Rechten auf Windows-Hosts ausgeführt werden.
Der Hersteller hat den Missbrauch von CVE-2026-106931 bestätigt, laut Bericht von BleepingComputer vom 18. Oktober 2026. Der Bericht legt nicht fest, wann die Angriffe begannen.
Die Schwachstelle betrifft die Statistikfunktion des Produkts und kann nur ausgenutzt werden, wenn diese Funktion aktiv ist. Laut BleepingComputer ist die Statistikerfassung standardmäßig aktiviert.
Betroffene und korrigierte Versionen
Die betroffenen Versionsbereiche laut Herstellerhinweisen sind:
| Plattform und Webserver | Betroffene Versionen | Korrigierte Version |
|---|---|---|
| Apache httpd, Nginx und IIS, außer FreeBSD | 2.20 und neuer, vor 8.00 Update 5 | 8.00 Update 5 |
| Apache httpd und Nginx unter FreeBSD | 2.20 und neuer, vor 7.00 Update 6 | 7.00 Update 6 |
Für IIS gibt es eine besondere Ausnahme. Laut Informationen von JPCERT/CC, die BleepingComputer zitiert, sind IIS-Editionen von 3.10 bis einschließlich 4.00 Update 4 nicht betroffen.
Kunden mit direkten Support-Kontakten wurden laut Hersteller am 29. September benachrichtigt. Die verfügbaren Berichte nennen zu diesem Datum kein Jahr.
Befehle können die höchsten Berechtigungen des WAF-Hosts übernehmen
In der NVD-Beschreibung wird das Problem als Schwachstelle durch OS-Command-Injection eingestuft. Es ist CWE-78 zugeordnet und hat einen CVSS-3.0-Score von 7,8 mit folgendem Vektor:
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Dieser Vektor beschreibt einen lokalen Angriff, der niedrige Berechtigungen und keine Benutzerinteraktion erfordert, mit potenziell hohen Auswirkungen auf Vertraulichkeit, Integrität und Verfügbarkeit. Der Hersteller und JPCERT/CC stufen die Schwachstelle laut dem Bericht vom 18. Oktober als kritisch ein.
Da SiteGuard Server Edition auf dem geschützten Host läuft, können eingeschleuste Befehle unter Linux oder Unix als root und unter Windows als SYSTEM ausgeführt werden. Mit diesen Rechten könnte ein Angreifer weitreichende Kontrolle über den Rechner erlangen, auf dem die WAF läuft.
Die verfügbaren Warnungen nennen weder die Urheber der Angriffe, noch beschreiben sie eine konkrete Angriffskette.
Diagnosedaten vor dem Einspielen des Fixes sichern
Administratoren sollten je nach Plattform auf 8.00 Update 5 oder 7.00 Update 6 aktualisieren. Für Installationen, die nicht aktualisiert werden können, stellt der Hersteller einen Patch bereit, der Dateien ersetzt, die an der Statistikverarbeitung beteiligt sind, auch für Versionen am Ende ihres Lebenszyklus.
Bevor sie das Update einspielen oder den Patch anwenden, rät der Hersteller Administratoren, Diagnosedaten zu sichern, da die Behebung möglicherweise Spuren eines Angriffs entfernt. Das gemeldete Vorgehen lautet:
Webverwaltungsoberfläche → Diagnoseinformationen → Diagnoseinformationen herunterladen
Betreiber sollten dieses Paket zuerst erstellen und danach die passende korrigierte Version oder den Patch installieren. Die Statistikfunktion muss aktiv sein, damit das verwundbare Verhalten erreichbar ist.
Der Hersteller gibt an, dass SiteGuard mehr als 1,5 Millionen Websites schützt. Davon getrennt zeigen von BleepingComputer zitierte Statistiken zu WordPress.org, dass das Produkt auf 500.000 Websites aktiv ist. Diese Zahl ist jedoch keine Anzahl verwundbarer Installationen.
