Функция статистики включена по умолчанию. Успешная атака позволяет выполнять произвольные команды с привилегиями root на Linux и FreeBSD или SYSTEM на Windows. Уязвимость затрагивает установки SiteGuard Server Edition версии 2.20 и новее с включённой статистикой, кроме отдельных конфигураций IIS. Бюллетень JVN подтверждает эксплуатацию в реальных атаках. Публичный документ JVN вышел 14 октября 2026 года. Точную дату первых попыток и интервал между раскрытием сведений и атаками источники не раскрывают.
CVE-2026-106931 и выполнение команд на хосте
Уязвимость получила идентификатор CVE-2026-106931. Оценка по CVSS 4.0 равна 8.5, а по CVSS 3.0 равна 7.8. Для эксплуатации нужен локальный доступ с низкими привилегиями. Описание JVN не относит уязвимость к удалённым атакам без аутентификации. SiteGuard Server Edition работает как межсетевой экран веб-приложений (WAF) на защищаемом веб-сервере. Внедрение команд означает, что программа принимает часть входных данных за системную команду. Уязвимость находится в обработке статистики, а не в правилах фильтрации трафика. По этой причине успешная эксплуатация затрагивает не только WAF, но и сам хост. Атакующий может изменить файлы или настройки, получить доступ к данным и нарушить работу сервисов.
Уязвимость затрагивает SiteGuard Server Edition 2.20 и новее при включённой статистике. Для Apache httpd, Nginx и IIS она затрагивает выпуски до 8.00 Update 5. Для Apache httpd и Nginx на FreeBSD уязвимы версии до 7.00 Update 6. Уязвимость не затрагивает IIS версий с 3.10 по 4.00 Update 4. Администраторам нужно сверить продукт, платформу, версию и настройку статистики с бюллетенем JVN.
EG Secure Solutions предупреждает, что обновление до исправленной версии может стереть следы атаки. JPCERT/CC рекомендует сохранить диагностическую информацию до обновления. Скачать её можно через веб-интерфейс управления SiteGuard. Файл нужно хранить в защищённом месте и записать дату и место сбора. Если после обновления появятся признаки компрометации, без этих данных расследование усложнится. Организациям с признаками взлома нужно сохранить системные журналы и журналы безопасности. После этого можно действовать по принятому порядку реагирования.
Исправление доступно в версии 8.00 Update 5 для Apache httpd, Nginx и IIS. Для Apache httpd и Nginx на FreeBSD исправление входит в версию 7.00 Update 6. Пользователям, которые не могут перейти на новый выпуск, разработчик предлагает отдельное исправление. Оно заменяет файлы обработки статистики и доступно даже для снятых с поддержки версий. Отключение статистики также снижает риск. Шаги отключения нужно подтвердить у EG Secure Solutions.
EG Secure Solutions уведомила клиентов с прямыми договорами поддержки 29 сентября 2026 года. Публичный бюллетень JVN появился 14 октября. Разработчик сообщил об уязвимости в IPA. Раскрытие координировал JPCERT/CC. Источники не раскрывают число пострадавших систем и детали атак. По этой причине организациям нужно проверить собственные установки и журналы.
WAF не заменяет защиту хоста. Сами межсетевые экраны веб-приложений требуют обновления, ограничения административного доступа и наблюдения за необычной активностью. Практический порядок включает поиск установок SiteGuard, проверку версий, сохранение диагностической информации, расследование признаков компрометации и установку исправления. После обновления нужно продолжить наблюдение за хостом. Записи о неожиданном выполнении команд помогут понять, была ли атака до обновления. Обновление устраняет уязвимость, но не заменяет проверку того, что происходило на сервере раньше.
Ссылки
