SiteGuard WAF-sårbarhed udnyttes til at udføre kommandoer med fulde rettigheder

Angribere udnytter en kritisk SiteGuard WAF-sårbarhed, der gør det muligt at udføre operativsystemkommandoer med root- eller SYSTEM-rettigheder. Sårbarheden påvirker SiteGuard Server Edition, en værtsbaseret firewall til webapplikationer.

Kommandoinjektionsfejlen, der er registreret som CVE-2026-106931, findes i produktets statistikfunktion. Denne funktion er aktiveret som standard, hvilket efterlader sårbare installationer eksponerede, medmindre administratorer deaktiverer den eller installerer en rettelse.

Både leverandøren og Japans myndigheder for håndtering af IT-sikkerhedshændelser har bekræftet aktiv udnyttelse. De har dog ikke oplyst, hvem der står bag, eller hvor mange systemer angriberne har kompromitteret.

Statistikfunktionen skaber et angrebspunkt

Sårbarheden påvirker installationer, der kører en sårbar softwareversion med statistikfunktionen aktiveret. Vellykket udnyttelse gør det muligt for angribere at udføre kommandoer med operativsystemets højeste rettigheder.

Dermed udgør sårbarheden en alvorlig risiko for berørte servere. Ikke desto mindre indeholder de offentlige sikkerhedsmeddelelser ingen detaljer om angrebsmetoderne, målene eller aktiviteterne efter udnyttelsen.

Selvom SiteGuard-produkter anvendes på et stort antal hjemmesider, viser disse bredere anvendelsestal ikke, hvor mange Server Edition-installationer der er eksponerede.

Hvilke SiteGuard-versioner er sårbare?

SiteGuard WAF-sårbarheden påvirker forskellige versionsintervaller afhængigt af operativsystem og webserver:

• Apache httpd, Nginx og IIS, undtagen FreeBSD: Version 2.20 og nyere, før 8.00 Update 5.
• Apache httpd og Nginx på FreeBSD: Version 2.20 og nyere, før 7.00 Update 6.

IIS-udgaverne fra 3.10 til og med 4.00 Update 4 er dog undtaget fra de berørte versioner.

Administratorer bør derfor kontrollere deres platform, versionsnummer og statistikindstillinger, når de vurderer, om deres systemer er eksponerede.

Opdateringer og separate sikkerhedsrettelser løser problemet

De korrigerede versioner er 8.00 Update 5 for berørte platforme uden for FreeBSD og 7.00 Update 6 for FreeBSD-installationer.

For kunder, der ikke kan opgradere, tilbyder leverandøren også en separat sikkerhedsrettelse. Den erstatter filer, der indgår i statistikbehandlingen, og omfatter også versioner, som ikke længere understøttes.

Dermed har administratorer, der anvender ældre installationer, mulighed for at afhjælpe sårbarheden, selv når en fuldstændig versionsopgradering ikke umiddelbart er mulig.

Bevar diagnostiske oplysninger før installation af rettelser

Før opdatering eller installation af sikkerhedsrettelser bør administratorer gemme diagnostiske oplysninger fra den berørte installation. Leverandøren advarer om, at afhjælpning kan slette spor efter et angreb.

For at bevare disse beviser skal du åbne webadministrationsgrænsefladen, vælge Diagnostic information og derefter Download diagnostic information. Opbevar de downloadede oplysninger, så de er tilgængelige for eventuelle efterfølgende undersøgelser.

Leverandøren oplyser, at kunder med direkte supportkontakter blev underrettet den 29. september. Samtidig betyder den bekræftede aktive udnyttelse, at hurtig afhjælpning er en prioritet, når administratorerne har sikret de tilgængelige beviser.