SiteGuard Server Edition: command injection sfruttata come root

Il 14 ottobre 2026 JPCERT/CC e IPA hanno pubblicato sul portale JVN l’avviso JVN#88474777 su SiteGuard Server Edition, il web application firewall (WAF) di EG Secure Solutions Inc. che si installa direttamente sul server web da proteggere. La vulnerabilità, CVE-2026-106931, è una OS command injection (CWE-78) nella funzione delle statistiche, attiva per impostazione predefinita, e consente di eseguire comandi del sistema operativo con privilegi root o SYSTEM.

L’avviso di JVN precisa che lo sfruttamento è già stato confermato. Lo stesso dice il bollettino del produttore, citato da BleepingComputer e Security Affairs. JPCERT/CC ha diffuso anche un’allerta in giapponese (JPCERT-AT-2026-0032); la scheda di JVN iPedia è la JVNDB-2026-000148.

Dettagli tecnici

• Prodotto: SiteGuard Server Edition, WAF host-based integrato nel server web, nelle edizioni per Apache httpd, Nginx e IIS.
• Componente: la funzione delle statistiche. Il prodotto è vulnerabile solo se la funzione è attiva, ma lo è di default.
• Tipo: OS command injection (CWE-78).
• Punteggi: CVSS 4.0 8,5 (AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) e CVSS 3.0 7,8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). JVN e il produttore classificano comunque la vulnerabilità come critica, anche se i punteggi base corrispondono a una gravità alta.
• Impatto: esecuzione di comandi arbitrari come root (Linux, FreeBSD) o SYSTEM (Windows) sulla macchina che ospita il WAF.

Il vettore è locale e richiede privilegi bassi: l’attaccante deve già poter agire sul sistema con un account non privilegiato. Security Affairs ne deduce che la falla venga probabilmente usata dopo un primo accesso, per ottenere il controllo completo del server. In termini MITRE ATT&CK lo sfruttamento rientra in T1068 (Exploitation for Privilege Escalation).

Restano sconosciuti, come notano entrambe le testate, chi sono gli attaccanti, quali sono le vittime, quanti sistemi sono stati colpiti e come avvengono gli attacchi: né JVN né il produttore lo dicono, e non ci sono indicatori di compromissione pubblici.

Versioni colpite e corrette

Sono colpite le versioni 2.20 e successive:

• edizioni per Apache httpd, Nginx e IIS (escluso FreeBSD): fino alla 8.00 Update 5 esclusa;
• edizioni per Apache httpd e Nginx su FreeBSD: fino alla 7.00 Update 6 esclusa.

Le edizioni per IIS dalla 3.10 alla 4.00 Update 4 comprese non sono colpite.

Le versioni corrette sono la 8.00 Update 5 (Apache httpd, Nginx, IIS) e la 7.00 Update 6 (Apache httpd e Nginx su FreeBSD). Per chi non può aggiornare, il produttore distribuisce una patch che sostituisce i file usati nell’elaborazione delle statistiche, disponibile anche per le versioni a fine supporto.

Una tempistica in due tempi

Il produttore ha segnalato la vulnerabilità a IPA, mentre JPCERT/CC ha coordinato la divulgazione. I clienti con un contratto di assistenza diretta sono stati avvisati il 29 settembre 2026; l’avviso pubblico e quello di JVN sono usciti il 14 ottobre. Come sottolinea Security Affairs, i clienti senza assistenza diretta hanno quindi ricevuto l’avviso circa due settimane dopo. Le fonti non dicono da quando la vulnerabilità sia sfruttata.

Secondo BleepingComputer, SiteGuard è uno dei principali produttori giapponesi di WAF e dichiara di proteggere oltre 1,5 milioni di siti; le fonti non danno numeri sulla diffusione della Server Edition fuori dal Giappone.

Impatto per le aziende europee e italiane

SiteGuard è un prodotto giapponese e le fonti non indicano quanto sia diffuso in Europa. Può comunque trovarsi sui server di filiali giapponesi di gruppi europei o nei siti gestiti da fornitori che lo usano: vale la pena verificarlo, anche con i fornitori che ospitano i tuoi siti.

Il caso è delicato perché il componente vulnerabile è proprio quello che dovrebbe proteggere il server web: chi ottiene root o SYSTEM sulla macchina del WAF può leggere certificati e credenziali, modificare le applicazioni pubblicate e disattivare la protezione stessa. Per i soggetti NIS2 l’intervento rientra nella gestione delle vulnerabilità e della catena di fornitura; una compromissione accertata va valutata ai fini della notifica al CSIRT Italia dell’ACN.

Cosa fare subito

1. Fai l’inventario: cerca SiteGuard Server Edition su tutti i server web, compresi quelli gestiti da fornitori, e annota versione, piattaforma e stato della funzione statistiche.
2. Conserva le prove prima di intervenire. Il produttore avverte che l’aggiornamento o la patch possono cancellare le tracce dell’attacco: dalla schermata di gestione web scarica e conserva le «Informazioni diagnostiche» (Diagnostic information → Download diagnostic information). Un server pulito dopo l’aggiornamento non dimostra che lo fosse prima.
3. Aggiorna alla 8.00 Update 5 o, su FreeBSD, alla 7.00 Update 6; se non puoi, applica la patch dei file delle statistiche, anche sulle versioni a fine supporto.
4. Cerca segni di compromissione: processi figli insoliti avviati con privilegi elevati dai componenti del WAF, nuovi account o chiavi SSH, attività pianificate, modifiche ai file delle applicazioni web, connessioni in uscita inattese dal server.
5. Cerca il primo accesso: poiché la falla richiede un account locale, controlla anche come un attaccante potrebbe averlo ottenuto (credenziali deboli o riutilizzate, altre applicazioni vulnerabili sullo stesso server).
6. Se trovi una compromissione, considera la macchina non affidabile: ricostruiscila, cambia le credenziali e rinnova i certificati che ospitava.

Come aiuta ARXDOME

L’agent di ARX Sentry raccoglie l’inventario del software di computer e server, utile per trovare in fretta le installazioni di SiteGuard e le loro versioni, insieme ai log, agli eventi di sicurezza e al controllo dell’integrità dei file nelle cartelle stabilite, che segnala modifiche inattese. ARX Shield mostra le vulnerabilità aperte per macchina e per pacchetto, con quelle già sfruttate in evidenza. Con ARX Trace gli analisti possono avviare raccolte di prove su più macchine prima dell’aggiornamento, così le tracce restano disponibili per l’indagine.

Ultimo aggiornamento: 19 ottobre 2026