Хакеры эксплуатируют уязвимость SiteGuard WAF для выполнения команд от имени root и SYSTEM

Злоумышленники активно эксплуатируют уязвимость внедрения команд операционной системы (OS command injection) в межсетевом экране уровня приложений SiteGuard Server Edition. Брешь позволяет выполнять команды с привилегиями root или SYSTEM на затронутых серверах.

Уязвимость получила идентификатор CVE-2026-106931 и затрагивает функцию статистики в хостовых экземплярах WAF, которая включена по умолчанию. По оценке вендора и предупреждению японского агентства CERT, уязвимость имеет критический уровень опасности и уже используется в реальных атаках.

SiteGuard — ведущий японский поставщик WAF, который, по собственным данным, защищает более 1,5 млн сайтов. Согласно статистике WordPress.org, продукт работает на 500 тыс. ресурсов.

«Уязвимость внедрения команд ОС (CVE-2026-106931) обнаружена в функции статистики SiteGuard Server Edition. Злоупотребление уже подтверждено», — говорится в оповещении компании.

Личность атакующих, круг жертв, масштаб кампании и применяемые методы остаются неизвестными: ни одно из предупреждений этих деталей не приводит.

Какие версии уязвимы

По данным вендора, уязвимы редакции SiteGuard Server Edition для Apache httpd, Nginx и IIS (кроме FreeBSD) версий 2.20 и новее, но ниже 8.00 Update 5. Для Apache httpd и Nginx на FreeBSD затронуты версии от 2.20 и новее, но ниже 7.00 Update 6. Эксплуатация возможна при активной функции статистики. Редакции IIS с 3.10 по 4.00 Update 4 включительно не затронуты, отмечает JPCERT/CC.

Для установок, которые невозможно обновить, вендор предлагает патч, заменяющий файлы обработки статистики, в том числе для версий, снятых с поддержки.

Сохраните следы перед обновлением

Компания предупреждает: установка исправления может стереть следы атаки, поэтому администраторам рекомендуется сначала сохранить доказательства. Для этого нужно скачать «диагностическую информацию» из веб-интерфейса управления (раздел «Diagnostic information» → «Download diagnostic information»).

Клиентов с прямыми контрактами поддержки вендор уведомил о проблеме раньше — 29 сентября.

Источник: Bleeping Computer