Хакери активно експлоатират уязвимост за инжектиране на команди на ниво операционна система (OS command injection) в уеб приложението за защитна стена (WAF) SiteGuard Server Edition, което им позволява да изпълняват команди с привилегии на root или SYSTEM върху засегнатите машини.

Проблемът със сигурността се следи под идентификатор CVE-2026-106931 и засяга функцията за статистика в хост-базираните WAF инстанции, която е активирана по подразбиране.

SiteGuard е водещ японски доставчик на WAF решения, който твърди, че защитава над 1,5 милиона уебсайта. Според статистиката на WordPress.org продуктът е активен на 500 000 сайта.

Според бюлетина на разработчика и предупреждение от японската агенция CERT, CVE-2026-106931 е с критично ниво на опасност и в момента се експлоатира активно в реални условия.

„Открита е уязвимост за инжектиране на команди на ниво операционна система (CVE-2026-106931) във функцията за статистика на SiteGuard Server Edition. Вече е потвърдена злоупотреба с нея“, се посочва в предупреждението на SiteGuard.

Самоличността на атакуващите, жертвите, мащабът на атаките и използваните методи остават неясни, тъй като нито един от бюлетините за сигурност не предоставя тези подробности.

Според доставчика следните версии на продукта са уязвими към CVE-2026-106931:

  • SiteGuard Server Edition за Apache httpd, Nginx и IIS (с изключение на FreeBSD) версии 2.20 и по-нови, преди 8.00 Update 5.
  • SiteGuard Server Edition за Apache httpd и Nginx на FreeBSD версии 2.20 и по-нови, преди 7.00 Update 6.

Успешната експлоатация е възможна в посочените по-горе версии, ако функцията за статистика е активна. Изданията за IIS от 3.10 до 4.00 Update 4 включително не са засегнати, отбелязват от JPCERT/CC.

За инсталации, които не могат да бъдат надградени, доставчикът предлага корекция за сигурност, която заменя файловете, използвани при обработката на статистика, включително за версии, чиято поддръжка е прекратена (end-of-life).

Доставчикът предупреждава, че процесът по отстраняване на уязвимостта може да заличи следите от атаката, и препоръчва на администраторите да запазят доказателствата преди обновяване или инсталиране на корекции за сигурност.

За да направят това, администраторите са инструктирани да изтеглят и съхранят „Диагностична информация“ от уеб интерфейса за управление (Web management screen ‐>Diagnostic information‐> Download diagnostic information)

Доставчикът заяви, че клиентите с договори за директна поддръжка са били уведомени за уязвимостта по-рано, на 29 септември.