Los atacantes están explotando una vulnerabilidad de inyección de comandos del sistema operativo en SiteGuard Server Edition, un firewall de aplicaciones web basado en host. Una explotación exitosa puede permitir ejecutar comandos con privilegios de root en sistemas Linux y Unix, o con privilegios de SYSTEM en hosts Windows.
El proveedor ha confirmado el abuso de CVE-2026-106931, según un informe publicado por BleepingComputer el 18 de octubre de 2026. Los informes no establecen cuándo comenzaron los ataques.
La vulnerabilidad afecta a la función de estadísticas del producto y solo puede explotarse cuando esa función está activa. Según BleepingComputer, la recopilación de estadísticas está habilitada de forma predeterminada.
Versiones afectadas y corregidas
Los rangos de versiones afectadas indicados en la guía del proveedor son:
| Plataforma y servidor web | Versiones afectadas | Versión corregida |
|---|---|---|
| Apache httpd, Nginx e IIS, excepto FreeBSD | 2.20 y posteriores, anteriores a 8.00 Update 5 | 8.00 Update 5 |
| Apache httpd y Nginx en FreeBSD | 2.20 y posteriores, anteriores a 7.00 Update 6 | 7.00 Update 6 |
Existe una excepción específica para IIS. Según la información de JPCERT/CC citada por BleepingComputer, las ediciones de IIS desde la 3.10 hasta la 4.00 Update 4, inclusive, no se ven afectadas.
El proveedor indicó que notificó el 29 de septiembre a los clientes con contactos directos de soporte. Los informes disponibles no asocian un año a esa fecha.
Los comandos pueden heredar los privilegios más altos del host del WAF
La descripción en NVD clasifica el problema como una inyección de comandos del sistema operativo. Está asociada a CWE-78 y tiene una puntuación CVSS 3.0 de 7,8, con el vector:
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Ese vector describe un ataque local que requiere privilegios bajos y ninguna interacción del usuario, con un impacto potencialmente alto en confidencialidad, integridad y disponibilidad. El proveedor y JPCERT/CC califican el fallo como crítico, según el informe del 18 de octubre.
Como SiteGuard Server Edition se ejecuta en el host protegido, los comandos inyectados pueden ejecutarse como root en Linux o Unix, y como SYSTEM en Windows. Esos privilegios podrían dar a un atacante un control amplio sobre la máquina que ejecuta el WAF.
Las advertencias disponibles no identifican a los operadores detrás de los ataques ni describen una cadena de explotación específica.
Conserve los diagnósticos antes de aplicar la corrección
Los administradores deben actualizar a 8.00 Update 5 o a 7.00 Update 6, según la plataforma. En las instalaciones que no puedan actualizarse, el proveedor ofrece un parche que sustituye los archivos implicados en el procesamiento de estadísticas, también para las versiones que han llegado al fin de su vida útil.
Antes de actualizar o aplicar ese parche, el proveedor recomienda a los administradores conservar los datos de diagnóstico, porque la remediación puede eliminar pruebas de un ataque. El procedimiento indicado es:
Pantalla de gestión web → Información de diagnóstico → Descargar información de diagnóstico
Los operadores deben descargar primero ese paquete y, después, instalar la versión corregida o el parche correspondiente. La función de estadísticas debe estar activa para que el comportamiento vulnerable sea accesible.
El proveedor afirma que SiteGuard protege a más de 1,5 millones de sitios web. Por otro lado, las estadísticas de WordPress.org citadas por BleepingComputer muestran el producto activo en 500.000 sitios; esa cifra no es un recuento de instalaciones vulnerables.
