En sårbarhet for kommandoinjeksjon i SiteGuard Server Edition gjør det mulig å kjøre kommandoer med høyeste systemrettigheter. Feilen har fått betegnelsen CVE-2026-106931 og finnes i statistikkfunksjonen i vertsbaserte WAF-installasjoner. Funksjonen er aktivert som standard.

SiteGuard er en japansk leverandør av brannmurer for nettapplikasjoner og opplyser at løsningen beskytter mer enn 1,5 millioner nettsteder. Statistikk fra WordPress.org viser samtidig at produktet er aktivt på 500 000 nettsteder.

Sårbarheten utnyttes allerede

Både leverandørens sikkerhetsmelding og et varsel fra Japans nasjonale CERT-organ beskriver CVE-2026-106931 som kritisk. De opplyser også at sårbarheten allerede blir utnyttet i angrep.

«An OS command injection vulnerability (CVE-2026-106931) has been found in the statistics function of SiteGuard Server Edition. Abuse has already been confirmed»

Identiteten til angriperne, hvilke virksomheter som er rammet, omfanget av angrepene og hvilke metoder som er brukt, er foreløpig ikke kjent. Ingen av sikkerhetsmeldingene gir nærmere detaljer om dette.

Ber administratorer ta vare på spor

Ifølge leverandøren er flere versjoner av produktet sårbare når statistikkfunksjonen er aktiv. JPCERT/CC opplyser samtidig at IIS-utgavene fra 3.10 til og med 4.00 Update 4 ikke er berørt.

For installasjoner som ikke kan oppgraderes, tilbyr SiteGuard en oppdatering som erstatter filer som brukes i behandlingen av statistikk. Dette gjelder også versjoner som ikke lenger støttes.

Leverandøren advarer om at oppdatering eller feilretting kan slette spor etter et angrep. Administratorer anbefales derfor å sikre bevis før de installerer oppdateringen eller den alternative feilrettingen.

SiteGuard ber administratorer laste ned og ta vare på «Diagnostic information» fra administrasjonsgrensesnittet. Det gjøres via Web management screen > Diagnostic information > Download diagnostic information.

Kunder med direkte supportkontakt skal ha blitt varslet om sårbarheten allerede 29. september.