Gli attaccanti stanno sfruttando una vulnerabilità di command injection del sistema operativo in SiteGuard Server Edition, un web application firewall basato su host. Uno sfruttamento riuscito potrebbe consentire l'esecuzione di comandi con privilegi root su sistemi Linux e Unix, o con privilegi SYSTEM su host Windows.
Il fornitore ha confermato l'abuso di CVE-2026-106931, secondo il rapporto pubblicato da BleepingComputer il 18 ottobre 2026. Il rapporto non stabilisce quando gli attacchi siano iniziati.
La vulnerabilità riguarda la funzione statistiche del prodotto e può essere sfruttata solo quando tale funzione è attiva. BleepingComputer riferisce che la raccolta delle statistiche è abilitata per impostazione predefinita.
Versioni interessate e corrette
Gli intervalli di release interessati, secondo le indicazioni del fornitore, sono:
| Piattaforma e server web | Versioni interessate | Versione corretta |
|---|---|---|
| Apache httpd, Nginx e IIS, esclusa FreeBSD | dalla 2.20 in poi, prima della 8.00 Update 5 | 8.00 Update 5 |
| Apache httpd e Nginx su FreeBSD | dalla 2.20 in poi, prima della 7.00 Update 6 | 7.00 Update 6 |
Esiste un'eccezione specifica per IIS. Secondo le informazioni di JPCERT/CC citate da BleepingComputer, le edizioni IIS dalla 3.10 alla 4.00 Update 4, incluse, non sono interessate.
Secondo il fornitore, i clienti con contatti di supporto diretti sono stati informati il 29 settembre. Le informazioni disponibili non riportano l'anno di questa data.
I comandi possono ereditare i privilegi più elevati dell'host del WAF
La descrizione NVD classifica la falla come vulnerabilità di command injection del sistema operativo. È associata a CWE-78 e ha un punteggio CVSS 3.0 di 7,8, con il vettore:
CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
Il vettore descrive un attacco locale che richiede privilegi bassi e nessuna interazione dell'utente, con un impatto potenzialmente alto su riservatezza, integrità e disponibilità. Il fornitore e JPCERT/CC definiscono la falla critica, come riportato nel rapporto del 18 ottobre.
Poiché SiteGuard Server Edition gira sull'host protetto, i comandi iniettati possono essere eseguiti come root su Linux o Unix e come SYSTEM su Windows. Tali privilegi potrebbero consentire a un attaccante un controllo esteso sulla macchina che esegue il WAF.
Gli avvisi disponibili non identificano i responsabili degli attacchi né descrivono una catena di sfruttamento specifica.
Conservare i dati diagnostici prima di applicare la correzione
Gli amministratori dovrebbero aggiornare alla 8.00 Update 5 o alla 7.00 Update 6, a seconda della piattaforma. Per le installazioni che non possono essere aggiornate, il fornitore mette a disposizione una patch che sostituisce i file coinvolti nell'elaborazione delle statistiche, anche per le release fuori supporto (end-of-life).
Prima di aggiornare o applicare la patch, il fornitore consiglia agli amministratori di conservare i dati diagnostici, perché la correzione potrebbe eliminare tracce di un attacco. La procedura indicata è:
Schermata di gestione web → Informazioni diagnostiche → Scarica informazioni diagnostiche
Gli operatori dovrebbero prima raccogliere quel pacchetto e poi installare la release corretta o la patch appropriata. La funzione statistiche deve essere attiva perché il comportamento vulnerabile sia raggiungibile.
Secondo il fornitore, SiteGuard protegge più di 1,5 milioni di siti web. Separatamente, le statistiche WordPress.org citate da BleepingComputer indicano il prodotto attivo su 500.000 siti; questo dato non è un conteggio delle installazioni vulnerabili.
