Хакери експлоатират уязвимост за инжектиране на команди в SiteGuard Server Edition – защитна стена за уеб приложения (WAF), инсталирана директно върху защитаваните сървъри.
Проследявана като CVE-2026-106931, уязвимостта може да позволи на атакуващите да изпълняват команди на операционната система с root или SYSTEM привилегии, което потенциално им осигурява пълен контрол над засегнатия сървър.
Дефектът засяга функцията за статистика на продукта, която е активирана по подразбиране. EG Secure Solutions потвърди експлоатацията и уведоми клиентите с договори за директна поддръжка на 29 септември 2026 г. Японската служба за координация на уязвимости публикува своя бюлетин в JVN на 14 октомври, като JPCERT/CC също издаде предупреждение.
Слабостта е класифицирана като инжектиране на команди на ОС съгласно CWE-78. Тя позволява на атакуващите да изпълняват команди на операционната система чрез функцията за обработка на статистика в засегнатия софтуер.
Тези команди могат да се изпълняват с root привилегии на Unix системи или със SYSTEM привилегии на Windows, вместо със съществуващите права на атакуващия. Публикуваните оценки на тежестта обаче описват локална атака, изискваща ниски привилегии и без необходимост от взаимодействие с потребителя.
Хакери експлоатират уязвимост в SiteGuard WAF
Следователно администраторите трябва да възприемат това като път от ограничен достъп към повишаване на привилегиите, а не като потвърдена отдалечена атака без необходимост от автентикация. Уязвимостта получава оценка 8.5 по CVSS 4.0 и 7.8 по CVSS 3.0.
Нито един от бюлетините не идентифицира атакуващите, засегнатите организации, обема на атаките или точния метод на експлоатация. Подобни рискове, включващи защитни устройства, се появиха и при отразяването от Cyber Security News на уязвимост за инжектиране на команди в Hillstone WAF. Този проблем обаче е отделен от SiteGuard.
Засегнатите версии започват от SiteGuard Server Edition версия 2.20, когато статистиката е активирана. За изданията за Apache, Nginx и IIS извън FreeBSD, администраторите трябва да преминат към версия 8.00 Update 5. Инсталациите на FreeBSD, използващи Apache или Nginx, трябва да преминат към версия 7.00 Update 6.
Съществува важно изключение за внедряванията под Windows. Изданията за IIS от версия 3.10 до версия 4.00 Update 4 не са засегнати. Поради това проверката както на инсталираната версия, така и на настройките на статистиката е задължителна при оценката на експозицията.
Организациите, които нямат възможност да извършат обновяване, могат да получат корекция за сигурност, която заменя файловете, използвани за обработка на статистиката. Доставчикът предоставя тази възможност и за версии, чиято поддръжка е прекратена.
Администраторите трябва задължително да запазят диагностичната информация преди инсталирането на обновяване или корекция за сигурност, тъй като процесът по отстраняване на уязвимостта може да заличи следите от атака. В уеб интерфейса за управление отворете „Diagnostic Information“, след това изберете „Download Diagnostic Information“ и запазете изтеглените данни, преди да правите промени.
Този подход с приоритет върху доказателствата улеснява последващото разследване, както е обяснено в ръководството на Cyber Security News за дигитална криминалистика и реагиране на инциденти. След потвърдената експлоатация засегнатите организации следва да съхранят диагностичните данни и своевременно да приложат съответната корекция за сигурност.