SiteGuard Server Edition: inyección de comandos explotada

El 14 de octubre de 2026 JPCERT/CC e IPA publicaron en el portal JVN el aviso JVN#88474777 sobre SiteGuard Server Edition, el web application firewall (WAF) de EG Secure Solutions Inc. que se instala directamente en el servidor web que protege. La vulnerabilidad, CVE-2026-106931, es una OS command injection (CWE-78) en la función de estadísticas, activa por defecto, y permite ejecutar comandos del sistema operativo con privilegios de root o SYSTEM.

El aviso de JVN precisa que la explotación ya está confirmada. Lo mismo dice el boletín del fabricante, citado por BleepingComputer y Security Affairs. JPCERT/CC también ha difundido una alerta en japonés (JPCERT-AT-2026-0032); la ficha de JVN iPedia es la JVNDB-2026-000148.

Detalles técnicos

• Producto: SiteGuard Server Edition, WAF host-based integrado en el servidor web, en sus ediciones para Apache httpd, Nginx e IIS.
• Componente: la función de estadísticas. El producto solo es vulnerable si la función está activa, pero lo está por defecto.
• Tipo: OS command injection (CWE-78).
• Puntuaciones: CVSS 4.0 8,5 (AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) y CVSS 3.0 7,8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). JVN y el fabricante clasifican de todos modos la vulnerabilidad como crítica, aunque las puntuaciones base corresponden a una gravedad alta.
• Impacto: ejecución de comandos arbitrarios como root (Linux, FreeBSD) o SYSTEM (Windows) en la máquina que aloja el WAF.

El vector es local y requiere privilegios bajos: el atacante ya debe poder actuar en el sistema con una cuenta sin privilegios. Security Affairs deduce que la falla probablemente se usa después de un primer acceso, para obtener el control total del servidor. En términos de MITRE ATT&CK, la explotación corresponde a T1068 (Exploitation for Privilege Escalation).

Como señalan ambos medios, sigue sin saberse quiénes son los atacantes, quiénes son las víctimas, cuántos sistemas se han visto afectados y cómo se llevan a cabo los ataques: ni JVN ni el fabricante lo dicen, y no hay indicadores de compromiso públicos.

Versiones afectadas y corregidas

Están afectadas las versiones 2.20 y posteriores:

• ediciones para Apache httpd, Nginx e IIS (excepto FreeBSD): hasta la 8.00 Update 5, sin incluirla;
• ediciones para Apache httpd y Nginx en FreeBSD: hasta la 7.00 Update 6, sin incluirla.

Las ediciones para IIS de la 3.10 a la 4.00 Update 4, ambas incluidas, no están afectadas.

Las versiones corregidas son la 8.00 Update 5 (Apache httpd, Nginx, IIS) y la 7.00 Update 6 (Apache httpd y Nginx en FreeBSD). Si no puedes actualizar, el fabricante ofrece un parche que sustituye los archivos usados en el procesamiento de las estadísticas, disponible también para las versiones al final de su soporte.

Un calendario en dos tiempos

El fabricante notificó la vulnerabilidad a IPA, y JPCERT/CC coordinó la divulgación. Los clientes con un contrato de soporte directo fueron avisados el 29 de septiembre de 2026; el aviso público y el de JVN salieron el 14 de octubre. Como subraya Security Affairs, los clientes sin soporte directo recibieron por tanto el aviso unas dos semanas después. Las fuentes no dicen desde cuándo se explota la vulnerabilidad.

Según BleepingComputer, SiteGuard es uno de los principales fabricantes japoneses de WAF y afirma proteger más de 1,5 millones de sitios; las fuentes no dan cifras sobre la difusión de la Server Edition fuera de Japón.

Impacto para las empresas europeas e italianas

SiteGuard es un producto japonés y las fuentes no indican cuánto se usa en Europa. Aun así, puede estar en servidores de filiales japonesas de grupos europeos o en sitios gestionados por proveedores que lo usan: conviene comprobarlo, también con los proveedores que alojan tus sitios.

El caso es delicado porque el componente vulnerable es precisamente el que debería proteger el servidor web: quien obtiene root o SYSTEM en la máquina del WAF puede leer certificados y credenciales, modificar las aplicaciones publicadas y desactivar la propia protección. Para las entidades sujetas a NIS2, la respuesta forma parte de la gestión de vulnerabilidades y de la cadena de suministro; un compromiso confirmado debe evaluarse a efectos de la notificación al CSIRT nacional (en Italia, el CSIRT Italia de la ACN).

Qué hacer ya

1. Haz inventario: busca SiteGuard Server Edition en todos los servidores web, incluidos los gestionados por proveedores, y anota versión, plataforma y estado de la función de estadísticas.
2. Conserva las pruebas antes de intervenir. El fabricante advierte que la actualización o el parche pueden borrar las huellas del ataque: desde la pantalla de gestión web descarga y guarda la «Información de diagnóstico» (Diagnostic information → Download diagnostic information). Un servidor limpio tras la actualización no demuestra que lo estuviera antes.
3. Actualiza a la 8.00 Update 5 o, en FreeBSD, a la 7.00 Update 6; si no puedes, aplica el parche de los archivos de estadísticas, también en las versiones sin soporte.
4. Busca indicios de compromiso: procesos hijo inusuales iniciados con privilegios elevados por los componentes del WAF, cuentas o claves SSH nuevas, tareas programadas, cambios en los archivos de las aplicaciones web, conexiones salientes inesperadas desde el servidor.
5. Busca el acceso inicial: como la falla requiere una cuenta local, comprueba también cómo podría haberla obtenido un atacante (credenciales débiles o reutilizadas, otras aplicaciones vulnerables en el mismo servidor).
6. Si encuentras un compromiso, considera la máquina no fiable: reconstrúyela, cambia las credenciales y renueva los certificados que alojaba.

Cómo ayuda ARXDOME

El agente de ARX Sentry recoge el inventario de software de ordenadores y servidores, útil para encontrar rápidamente las instalaciones de SiteGuard y sus versiones, junto con los logs, los eventos de seguridad y el control de integridad de los archivos en las carpetas elegidas, que señala cambios inesperados. ARX Shield muestra las vulnerabilidades abiertas por máquina y por paquete, con las ya explotadas destacadas. Con ARX Trace, los analistas pueden lanzar recogidas de pruebas en varias máquinas antes de la actualización, para que las huellas sigan disponibles para la investigación.

Última actualización: 19 de octubre de 2026