SiteGuard WAF-sårbarhet utnyttes til å kjøre kommandoer med fulle rettigheter

Angripere utnytter en kritisk SiteGuard WAF-sårbarhet som gjør det mulig å kjøre operativsystemkommandoer med root- eller SYSTEM-rettigheter. Sårbarheten påvirker SiteGuard Server Edition, en vertsbasert brannmur for webapplikasjoner.

Kommandoinjeksjonsfeilen, registrert som CVE-2026-106931, finnes i produktets statistikkfunksjon. Denne funksjonen er aktivert som standard, noe som gjør sårbare installasjoner eksponert med mindre administratorer deaktiverer den eller installerer en rettelse.

Både leverandøren og Japans myndigheter for håndtering av IT-sikkerhetshendelser har bekreftet aktiv utnyttelse. De har imidlertid ikke opplyst hvem som står bak, eller hvor mange systemer angriperne har kompromittert.

Statistikkfunksjonen skaper et angrepspunkt

Sårbarheten påvirker installasjoner som kjører en sårbar programvareversjon med statistikkfunksjonen aktivert. Vellykket utnyttelse gjør det mulig for angripere å kjøre kommandoer med operativsystemets høyeste rettigheter.

Dermed utgjør sårbarheten en alvorlig risiko for berørte servere. Likevel inneholder de offentlige sikkerhetsvarslene ingen detaljer om angrepsmetodene, målene eller aktivitetene etter utnyttelsen.

Selv om SiteGuard-produkter brukes på et stort antall nettsteder, viser ikke disse bredere brukstallene hvor mange Server Edition-installasjoner som er eksponert.

Hvilke SiteGuard-versjoner er sårbare?

SiteGuard WAF-sårbarheten påvirker ulike versjonsintervaller avhengig av operativsystem og webserver:

• Apache httpd, Nginx og IIS, unntatt FreeBSD: Versjon 2.20 og nyere, før 8.00 Update 5.
• Apache httpd og Nginx på FreeBSD: Versjon 2.20 og nyere, før 7.00 Update 6.

IIS-utgavene fra 3.10 til og med 4.00 Update 4 er imidlertid unntatt fra de berørte versjonene.

Administratorer bør derfor kontrollere plattform, versjonsnummer og statistikkinnstillinger når de vurderer om systemene deres er eksponert.

Oppdateringer og separate sikkerhetsrettelser løser problemet

De korrigerte versjonene er 8.00 Update 5 for berørte plattformer utenfor FreeBSD og 7.00 Update 6 for FreeBSD-installasjoner.

For kunder som ikke kan oppgradere, tilbyr leverandøren også en separat sikkerhetsrettelse. Den erstatter filer som brukes i statistikkbehandlingen, og dekker også versjoner som har nådd slutten av levetiden.

Dermed har administratorer som kjører eldre installasjoner, et alternativ for å utbedre sårbarheten selv når en fullstendig versjonsoppgradering ikke er umiddelbart mulig.

Bevar diagnostisk informasjon før rettelser installeres

Før oppdatering eller installasjon av sikkerhetsrettelser bør administratorer ta vare på diagnostisk informasjon fra den berørte installasjonen. Leverandøren advarer om at utbedringstiltak kan slette spor etter et angrep.

For å bevare disse bevisene åpner du webgrensesnittet for administrasjon, velger Diagnostic information og deretter Download diagnostic information. Oppbevar den nedlastede informasjonen slik at den er tilgjengelig for eventuelle senere undersøkelser.

Leverandøren opplyser at kunder med direkte supportkontakter ble varslet 29. september. Samtidig gjør den bekreftede aktive utnyttelsen rask utbedring til en prioritet når administratorene har sikret tilgjengelige bevis.