Hackers misbruiken een command-injectie in SiteGuard Server Edition WAF om commando’s uit te voeren met root- of SYSTEM-rechten.
Hackers maken misbruik van een kwetsbaarheid in de SiteGuard Server Edition web application firewall (WAF) die het mogelijk maakt om commando’s uit te voeren met root- of SYSTEM-rechten op getroffen systemen. Het gaat om een OS command-injectie in de statistiekfunctie van host-based WAF-instanties, die standaard is ingeschakeld. Deze kwetsbaarheid staat geregistreerd als CVE-2026-106931 en wordt momenteel actief uitgebuit.
SiteGuard is een toonaangevende Japanse leverancier van WAF-oplossingen die meer dan 1,5 miljoen websites claimt te beschermen. Volgens statistieken van WordPress.org is het product actief op ongeveer 500.000 sites. De kwetsbaarheid betreft versies van SiteGuard Server Edition voor Apache httpd, Nginx en IIS (met uitzondering van FreeBSD) vanaf 2.20 tot vóór 8.00 Update 5, en voor FreeBSD vanaf 2.20 tot vóór 7.00 Update 6. IIS-versies 3.10 tot en met 4.00 Update 4 zijn niet kwetsbaar, aldus JPCERT/CC.
De exploitatie is alleen mogelijk wanneer de statistiekfunctie actief is. Voor systemen die niet direct kunnen worden geüpdatet, biedt de leverancier een patch aan die de bestanden voor statistiekverwerking vervangt, ook voor versies die niet meer worden ondersteund. SiteGuard waarschuwt dat het toepassen van de patch mogelijk sporen van aanvallen kan wissen en adviseert beheerders daarom eerst diagnostische informatie te downloaden en veilig te stellen via het webbeheerinterface (Web management screen ‐> Diagnostic information ‐> Download diagnostic information), voordat zij de update uitvoeren. Klanten met directe supportcontacten zijn al op 29 september geïnformeerd over de kwetsbaarheid, zo meldt de leverancier in hun waarschuwing.
