SiteGuard Server Edition: injecție de comenzi exploatată

Pe 14 octombrie 2026, JPCERT/CC și IPA au publicat pe portalul JVN avizul JVN#88474777 despre SiteGuard Server Edition, web application firewall-ul (WAF) de la EG Secure Solutions Inc. care se instalează direct pe serverul web pe care îl protejează. Vulnerabilitatea, CVE-2026-106931, este o OS command injection (CWE-78) în funcția de statistici, activă implicit, și permite executarea de comenzi ale sistemului de operare cu privilegii root sau SYSTEM.

Avizul JVN precizează că exploatarea a fost deja confirmată. Același lucru îl spune și buletinul producătorului, citat de BleepingComputer și Security Affairs. JPCERT/CC a emis și o alertă în japoneză (JPCERT-AT-2026-0032); fișa din JVN iPedia este JVNDB-2026-000148.

Detalii tehnice

• Produs: SiteGuard Server Edition, WAF host-based integrat în serverul web, în edițiile pentru Apache httpd, Nginx și IIS.
• Componentă: funcția de statistici. Produsul este vulnerabil doar dacă funcția este activă, dar ea este activă implicit.
• Tip: OS command injection (CWE-78).
• Scoruri: CVSS 4.0 8,5 (AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N) și CVSS 3.0 7,8 (AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H). JVN și producătorul clasifică totuși vulnerabilitatea drept critică, deși scorurile de bază corespund unei severități ridicate.
• Impact: executarea de comenzi arbitrare ca root (Linux, FreeBSD) sau SYSTEM (Windows) pe mașina care găzduiește WAF-ul.

Vectorul este local și necesită privilegii reduse: atacatorul trebuie să poată deja acționa pe sistem cu un cont neprivilegiat. Security Affairs deduce că breșa este probabil folosită după un prim acces, pentru a obține controlul complet al serverului. În termeni MITRE ATT&CK, exploatarea corespunde tehnicii T1068 (Exploitation for Privilege Escalation).

Așa cum notează ambele publicații, nu se știe încă cine sunt atacatorii, cine sunt victimele, câte sisteme au fost afectate și cum au loc atacurile: nici JVN, nici producătorul nu o spun, iar indicatori de compromitere publici nu există.

Versiuni afectate și corectate

Sunt afectate versiunile 2.20 și ulterioare:

• edițiile pentru Apache httpd, Nginx și IIS (cu excepția FreeBSD): până la 8.00 Update 5, exclusiv;
• edițiile pentru Apache httpd și Nginx pe FreeBSD: până la 7.00 Update 6, exclusiv.

Edițiile pentru IIS de la 3.10 la 4.00 Update 4 inclusiv nu sunt afectate.

Versiunile corectate sunt 8.00 Update 5 (Apache httpd, Nginx, IIS) și 7.00 Update 6 (Apache httpd și Nginx pe FreeBSD). Dacă nu poți actualiza, producătorul oferă un patch care înlocuiește fișierele folosite la procesarea statisticilor, disponibil și pentru versiunile ieșite din suport.

Un calendar în doi timpi

Producătorul a raportat vulnerabilitatea către IPA, iar JPCERT/CC a coordonat dezvăluirea. Clienții cu un contract de suport direct au fost anunțați pe 29 septembrie 2026; buletinul public și avizul JVN au apărut pe 14 octombrie. Așa cum subliniază Security Affairs, clienții fără suport direct au primit deci avertismentul cu aproximativ două săptămâni mai târziu. Sursele nu spun de când este exploatată vulnerabilitatea.

Potrivit BleepingComputer, SiteGuard este unul dintre principalii producători japonezi de WAF și declară că protejează peste 1,5 milioane de site-uri; sursele nu dau cifre despre răspândirea Server Edition în afara Japoniei.

Impactul pentru companiile europene și italiene

SiteGuard este un produs japonez, iar sursele nu indică cât de răspândit este în Europa. Poate fi totuși prezent pe serverele filialelor japoneze ale grupurilor europene sau pe site-urile gestionate de furnizori care îl folosesc: merită verificat, inclusiv cu furnizorii care îți găzduiesc site-urile.

Cazul este delicat pentru că, de fapt, componenta vulnerabilă este chiar cea care ar trebui să protejeze serverul web: cine obține root sau SYSTEM pe mașina WAF-ului poate citi certificate și credențiale, poate modifica aplicațiile publicate și poate dezactiva protecția însăși. Pentru entitățile NIS2, intervenția face parte din gestionarea vulnerabilităților și a lanțului de aprovizionare; o compromitere confirmată trebuie evaluată în vederea notificării către CSIRT-ul național (în Italia, CSIRT Italia din cadrul ACN; în România, DNSC).

Ce să faci acum

1. Fă inventarul: caută SiteGuard Server Edition pe toate serverele web, inclusiv cele gestionate de furnizori, și notează versiunea, platforma și starea funcției de statistici.
2. Păstrează dovezile înainte de a interveni. Producătorul avertizează că actualizarea sau patch-ul pot șterge urmele atacului: din ecranul de administrare web descarcă și păstrează „Informațiile de diagnosticare” (Diagnostic information → Download diagnostic information). Un server curat după actualizare nu dovedește că era curat și înainte.
3. Actualizează la 8.00 Update 5 sau, pe FreeBSD, la 7.00 Update 6; dacă nu poți, aplică patch-ul fișierelor de statistici, inclusiv pe versiunile ieșite din suport.
4. Caută semne de compromitere: procese copil neobișnuite pornite cu privilegii ridicate de componentele WAF-ului, conturi sau chei SSH noi, sarcini programate, modificări ale fișierelor aplicațiilor web, conexiuni de ieșire neașteptate de pe server.
5. Caută accesul inițial: deoarece breșa necesită un cont local, verifică și cum l-ar fi putut obține un atacator (credențiale slabe sau refolosite, alte aplicații vulnerabile pe același server).
6. Dacă găsești o compromitere, consideră mașina nesigură: reconstruiește-o, schimbă credențialele și reînnoiește certificatele pe care le găzduia.

Cum ajută ARXDOME

Agentul ARX Sentry colectează inventarul software al calculatoarelor și serverelor, util pentru a găsi rapid instalările SiteGuard și versiunile lor, împreună cu logurile, evenimentele de securitate și controlul integrității fișierelor în folderele stabilite, care semnalează modificările neașteptate. ARX Shield arată vulnerabilitățile deschise pe mașină și pe pachet, cu cele deja exploatate evidențiate. Cu ARX Trace, analiștii pot porni colectări de dovezi pe mai multe mașini înainte de actualizare, astfel încât urmele să rămână disponibile pentru investigație.

Ultima actualizare: 19 octombrie 2026