Már kihasználják a SiteGuard WAF root- vagy SYSTEM-jogú parancsfuttatást engedő hibáját

A CVE-2026-106931 azonosítójú sérülékenység a SiteGuard Server Edition webalkalmazás-tűzfalat érinti. Ez a HTTP-alkalmazásokhoz készült védelem szabálykészletet alkalmaz a HTTP-forgalomra. A probléma a gépre telepített termék statisztikai szolgáltatásában található, amely alapértelmezetten engedélyezett.

Az érintett kiadásokban a kihasználás feltétele, hogy ez a funkció aktív legyen. A biztonsági résen át root- vagy SYSTEM-jogosultsággal lehet tetszőleges parancsot futtatni azon a rendszeren, amelyen a termék működik. A gyártó közleménye és a japán CERT figyelmeztetése szerint a hibát már kihasználják.

A sérülékenységi adatlap 8,5-ös CVSS-pontszámot és magas súlyossági besorolást ad meg. A CVSS a műszaki súlyosságot jelzi, nem azt, hogy egy hibával visszaélnek-e.

Az érintett verziók köre a kiszolgálótól és az operációs rendszertől is függ. A gyártó felsorolása szerint:

• Apache httpd, Nginx és IIS, a FreeBSD kivételével: a 2.20-as és későbbi kiadások érintettek, a 8.00 Update 5 előtti verziókig.
• Apache httpd és Nginx FreeBSD rendszeren: a 2.20-as és későbbi kiadások sérülékenyek, a 7.00 Update 6 előtti verziókig.

Az IIS-változatoknál külön kivétel is van: a JPCERT/CC szerint a 3.10 és a 4.00 Update 4 közötti kiadások nem érintettek, a két szélső verziót is beleértve. A felsorolt sérülékeny változatoknál továbbra is feltétel a statisztikai funkció bekapcsolt állapota.

A gyártó figyelmeztetése szerint a frissítés vagy a javítócsomag alkalmazása törölheti a támadás nyomait. Ezért az üzemeltetőknek még a beavatkozás előtt le kell tölteniük és meg kell őrizniük a webes kezelőfelületen elérhető diagnosztikai információkat.

A kezelőfelületen a „Diagnostic information” részben, a „Download diagnostic information” gombbal tölthetők le.

Azokhoz a telepítésekhez, amelyek nem frissíthetők, a gyártó külön javítócsomagot kínál. Ez a statisztikai feldolgozásban használt fájlokat cseréli le, és már támogatáson kívüli verziókhoz is elérhető.

A gyártó közlése szerint a közvetlen támogatási kapcsolattal rendelkező ügyfelek szeptember 29-én már értesítést kaptak a sérülékenységről. Egyik figyelmeztetés sem közli a támadók kilétét, az áldozatok körét, a támadások léptékét és módszereit.