Des attaquants exploitent une vulnérabilité d'injection de commandes système dans SiteGuard Server Edition, un pare-feu d'applications web installé sur l'hôte. Une exploitation réussie pourrait permettre d'exécuter des commandes avec les privilèges root sur les systèmes Linux et Unix, ou SYSTEM sur les hôtes Windows.
Selon un article publié par BleepingComputer le 18 octobre 2026, l'éditeur a confirmé l'exploitation de la CVE-2026-106931. Ce reportage ne permet pas de dire quand les attaques ont commencé.
La vulnérabilité touche la fonctionnalité de statistiques du produit et ne peut être exploitée que lorsque cette fonctionnalité est active. Selon BleepingComputer, la collecte de statistiques est activée par défaut.
Versions concernées et versions corrigées
Les plages de versions concernées, d'après les recommandations de l'éditeur, sont les suivantes :
| Plateforme et serveur web | Versions concernées | Version corrigée |
|---|---|---|
| Apache httpd, Nginx et IIS, à l'exclusion de FreeBSD | 2.20 et ultérieures, avant 8.00 Update 5 | 8.00 Update 5 |
| Apache httpd et Nginx sur FreeBSD | 2.20 et ultérieures, avant 7.00 Update 6 | 7.00 Update 6 |
IIS fait l'objet d'une exception précise. Selon les informations de JPCERT/CC citées par BleepingComputer, les éditions IIS allant de la 3.10 à la 4.00 Update 4 incluse ne sont pas concernées.
Les clients disposant de contacts directs avec le support ont été informés le 29 septembre, selon l'éditeur. Les informations disponibles ne précisent pas l'année de cette date.
Les commandes peuvent hériter des privilèges les plus élevés de l'hôte du WAF
La description de la NVD classe le problème comme une vulnérabilité d'injection de commandes système. Elle est associée au CWE-78 et affiche un score CVSS 3.0 de 7,8, avec le vecteur suivant :
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Ce vecteur décrit une attaque locale, nécessitant de faibles privilèges et aucune interaction de l'utilisateur, avec un impact potentiellement élevé sur la confidentialité, l'intégrité et la disponibilité. L'éditeur et JPCERT/CC qualifient la faille de critique, comme le rapporte l'article du 18 octobre.
Comme SiteGuard Server Edition s'exécute sur l'hôte protégé, les commandes injectées peuvent être exécutées en tant que root sur Linux ou Unix, et en tant que SYSTEM sur Windows. Ces privilèges pourraient donner à un attaquant un contrôle étendu sur la machine qui fait tourner le WAF.
Les alertes disponibles n'identifient pas les acteurs derrière les attaques et ne décrivent pas de chaîne d'exploitation précise.
Conserver les données de diagnostic avant d'appliquer le correctif
Les administrateurs doivent passer à la 8.00 Update 5 ou à la 7.00 Update 6, selon la plateforme. Pour les installations qui ne peuvent pas être mises à jour, l'éditeur fournit un correctif qui remplace les fichiers impliqués dans le traitement des statistiques, y compris pour les versions en fin de vie.
Avant de mettre à jour ou d'appliquer ce correctif, l'éditeur conseille aux administrateurs de conserver les données de diagnostic, car la correction peut effacer des traces d'attaque. La procédure indiquée est la suivante :
Écran de gestion web → Informations de diagnostic → Télécharger les informations de diagnostic
Les opérateurs doivent donc d'abord récupérer ce package, puis installer la version corrigée ou le correctif approprié. La fonctionnalité de statistiques doit être active pour que le comportement vulnérable soit accessible.
L'éditeur indique que SiteGuard protège plus de 1,5 million de sites web. Par ailleurs, les statistiques WordPress.org citées par BleepingComputer font état du produit actif sur 500 000 sites ; ce chiffre ne correspond pas au nombre d'installations vulnérables.
