SiteGuard-WAF-Schwachstelle wird ausgenutzt, um Befehle mit vollständigen Berechtigungen auszuführen

Angreifer nutzen eine kritische SiteGuard WAF-Schwachstelle aus, die es ihnen ermöglicht, Betriebssystembefehle mit Root- oder SYSTEM-Rechten auszuführen. Die Schwachstelle betrifft SiteGuard Server Edition, eine hostbasierte Web Application Firewall.

Die als CVE-2026-106931 registrierte Command-Injection-Schwachstelle befindet sich in der Statistikfunktion des Produkts. Diese Funktion ist standardmäßig aktiviert, wodurch anfällige Installationen gefährdet bleiben, sofern Administratoren sie nicht deaktivieren oder eine Fehlerbehebung installieren.

Sowohl der Hersteller als auch die japanischen Behörden für die Reaktion auf IT-Sicherheitsvorfälle haben die aktive Ausnutzung bestätigt. Sie haben jedoch nicht bekannt gegeben, wer dafür verantwortlich ist oder wie viele Systeme die Angreifer kompromittiert haben.

Statistikfunktion schafft einen Angriffspunkt

Die Schwachstelle betrifft Installationen, die eine anfällige Softwareversion mit aktivierter Statistikfunktion verwenden. Eine erfolgreiche Ausnutzung ermöglicht es Angreifern, Befehle mit den höchsten Berechtigungen des Betriebssystems auszuführen.

Dadurch stellt die Schwachstelle ein erhebliches Risiko für betroffene Server dar. Dennoch enthalten die öffentlichen Sicherheitshinweise keine Einzelheiten zu den Angriffsmethoden, Zielen oder Aktivitäten nach der Ausnutzung.

Obwohl SiteGuard-Produkte auf einer großen Anzahl von Websites eingesetzt werden, lässt sich aus diesen allgemeinen Nutzungszahlen nicht ableiten, wie viele Installationen der Server Edition tatsächlich gefährdet sind.

Welche SiteGuard-Versionen sind anfällig?

Die SiteGuard WAF-Schwachstelle betrifft je nach Betriebssystem und Webserver unterschiedliche Versionsbereiche:

• Apache httpd, Nginx und IIS, ausgenommen FreeBSD: Versionen ab 2.20 bis vor 8.00 Update 5.
• Apache httpd und Nginx unter FreeBSD: Versionen ab 2.20 bis vor 7.00 Update 6.

Die IIS-Versionen von 3.10 bis einschließlich 4.00 Update 4 sind jedoch von den betroffenen Versionen ausgenommen.

Administratoren sollten daher ihre Plattform, Versionsnummer und Statistikeinstellungen überprüfen, um festzustellen, ob ihre Systeme gefährdet sind.

Updates und separate Sicherheitspatches beheben die Schwachstelle

Die korrigierten Versionen sind 8.00 Update 5 für betroffene Plattformen außerhalb von FreeBSD und 7.00 Update 6 für FreeBSD-Installationen.

Für Kunden, die kein Upgrade durchführen können, stellt der Hersteller außerdem einen separaten Patch bereit. Dieser ersetzt Dateien, die an der Statistikverarbeitung beteiligt sind, und deckt auch Versionen ab, deren Support bereits eingestellt wurde.

Somit steht Administratoren älterer Installationen eine Möglichkeit zur Behebung der Schwachstelle zur Verfügung, selbst wenn ein vollständiges Versionsupgrade nicht sofort möglich ist.

Diagnoseinformationen vor der Installation von Korrekturen sichern

Vor der Durchführung eines Updates oder der Installation eines Patches sollten Administratoren die Diagnoseinformationen der betroffenen Installation sichern. Der Hersteller warnt davor, dass die Behebung der Schwachstelle Spuren eines Angriffs löschen könnte.

Um diese Beweise zu sichern, öffnen Sie die Webverwaltungsoberfläche, wählen Diagnostic information und anschließend Download diagnostic information. Bewahren Sie die heruntergeladenen Informationen für mögliche spätere Untersuchungen auf.

Nach Angaben des Herstellers wurden Kunden mit direkten Supportkontakten am 29. September benachrichtigt. Angesichts der bestätigten aktiven Ausnutzung hat eine schnelle Behebung jedoch hohe Priorität, sobald Administratoren die verfügbaren Beweise gesichert haben.