SiteGuard WAF-sårbarhet utnyttjas för att köra kommandon med fullständiga behörigheter

Angripare utnyttjar en kritisk SiteGuard WAF-sårbarhet som gör det möjligt att köra operativsystemkommandon med root- eller SYSTEM-behörigheter. Sårbarheten påverkar SiteGuard Server Edition, en värdbaserad brandvägg för webbapplikationer.

Kommandoinjektionsfelet, som registrerats som CVE-2026-106931, finns i produktens statistikfunktion. Funktionen är aktiverad som standard, vilket innebär att sårbara installationer är exponerade om administratörer inte inaktiverar den eller installerar en korrigering.

Både leverantören och Japans myndigheter för hantering av IT-säkerhetsincidenter har bekräftat att sårbarheten utnyttjas aktivt. De har dock inte avslöjat vem som ligger bakom attackerna eller hur många system angriparna har komprometterat.

Statistikfunktionen skapar en angreppspunkt

Sårbarheten påverkar installationer som kör en sårbar programvaruversion med statistikfunktionen aktiverad. Ett framgångsrikt utnyttjande gör det möjligt för angripare att köra kommandon med operativsystemets högsta behörigheter.

Därmed innebär sårbarheten en allvarlig risk för berörda servrar. Trots detta innehåller de offentliga säkerhetsmeddelandena inga detaljer om attackmetoder, mål eller aktiviteter efter att sårbarheten har utnyttjats.

Även om SiteGuard-produkter används på ett stort antal webbplatser visar dessa bredare användningssiffror inte hur många installationer av Server Edition som är exponerade.

Vilka SiteGuard-versioner är sårbara?

SiteGuard WAF-sårbarheten påverkar olika versionsintervall beroende på operativsystem och webbserver:

• Apache httpd, Nginx och IIS, exklusive FreeBSD: Version 2.20 och senare, före 8.00 Update 5.
• Apache httpd och Nginx på FreeBSD: Version 2.20 och senare, före 7.00 Update 6.

IIS-versionerna från 3.10 till och med 4.00 Update 4 är dock undantagna från de berörda versionerna.

Administratörer bör därför kontrollera plattform, versionsnummer och statistikinställningar när de bedömer om deras system är exponerade.

Uppdateringar och separata korrigeringar åtgärdar sårbarheten

De korrigerade versionerna är 8.00 Update 5 för berörda plattformar utanför FreeBSD och 7.00 Update 6 för FreeBSD-installationer.

För kunder som inte kan uppgradera erbjuder leverantören även en separat korrigering. Den ersätter filer som används vid statistikbearbetning och omfattar även versioner som inte längre stöds.

Administratörer som använder äldre installationer har därmed möjlighet att åtgärda sårbarheten även när en fullständig versionsuppgradering inte är omedelbart möjlig.

Bevara diagnostisk information innan korrigeringar installeras

Innan administratörer uppdaterar eller installerar korrigeringar bör de spara diagnostisk information från den berörda installationen. Leverantören varnar för att åtgärderna kan radera spår av en attack.

För att bevara dessa bevis öppnar du webbgränssnittet för administration, väljer Diagnostic information och därefter Download diagnostic information. Spara den nedladdade informationen så att den finns tillgänglig för eventuella efterföljande utredningar.

Leverantören uppger att kunder med direkta supportkontakter informerades den 29 september. Samtidigt innebär det bekräftade aktiva utnyttjandet att snabb åtgärd är en prioritet när administratörerna har säkrat tillgängliga bevis.