Критическая уязвимость SiteGuard WAF уже используется злоумышленниками: ошибка позволяет запускать системные команды с правами root в Linux или SYSTEM в Windows. Для компаний, использующих этот WAF на внешних веб-серверах, это означает риск полного захвата хоста, а не просто обхода одного защитного правила.
Проблема получила идентификатор CVE-2026-106931 и связана со встроенной функцией статистики в SiteGuard Server Edition, сообщает BleepingComputer. Производитель подтверждает, что атаки уже зафиксированы. Уязвимый компонент включён по умолчанию, поэтому рассчитывать, что опасная функция наверняка отключена в старой инсталляции, — плохая стратегия.
SiteGuard — заметный игрок японского рынка WAF. Компания заявляет о защите более 1,5 млн сайтов; по статистике WordPress.org, продукт активен примерно на 500 тыс. сайтов. Даже если эти показатели относятся к разным поставкам и редакциям, масштаб установленной базы делает CVE-2026-106931 особенно неприятной: WAF обычно размещают перед приложением именно ради снижения рисков, а здесь он сам становится точкой входа с максимальными привилегиями.
Уязвимость затрагивает SiteGuard Server Edition для Apache httpd, Nginx и IIS версий 2.20 и выше, выпущенных до 8.00 Update 5, за исключением FreeBSD. Для Apache httpd и Nginx на FreeBSD подвержены версии 2.20 и выше до 7.00 Update 6. Отдельно японская команда реагирования на компьютерные инциденты JPCERT/CC уточняет: редакции для IIS с 3.10 по 4.00 Update 4 включительно этой проблеме не подвержены.
Технически это OS command injection — классическая, но оттого не менее опасная ошибка обработки входных данных. Если атакующий может передать специально сформированное значение в уязвимый путь статистики, он добивается запуска произвольной команды от имени сервисного процесса. А у такого процесса на WAF-сервере часто есть административные права: иначе продукту сложно анализировать трафик, работать с журналами и интегрироваться с веб-сервером. Результат — возможность закрепиться на машине, вытащить конфигурации и секреты либо использовать сервер как площадку для дальнейшего движения по инфраструктуре.
Публичных деталей об атакующей группе, списке жертв и масштабе кампании пока нет. Не раскрыты и конкретные приёмы эксплуатации. Это не повод откладывать обновление: статус «эксплуатируется в реальных атаках» означает, что атакующий код или хотя бы надёжная техника уже доступны кому-то за пределами вендора. В таких ситуациях окно между публикацией предупреждения и массовым сканированием интернета обычно измеряется не кварталами.
Исправление доступно в обновлённых версиях продукта. Для систем, которые нельзя обновить из-за зависимостей или окончания поддержки, SiteGuard подготовил отдельный патч, заменяющий файлы обработки статистики, в том числе для устаревших выпусков. Это практичнее, чем оставлять периметровый сервер открытым до планового окна обслуживания, но патч не заменяет полноценную инвентаризацию и проверку уже скомпрометированных машин.
У производителя есть важное предупреждение: обновление или установка патча может стереть следы атаки. До внесения изменений администраторам рекомендуют сохранить диагностическую информацию из веб-интерфейса управления. В рабочем порядке стоит также зафиксировать журналы WAF, веб-сервера и операционной системы, сведения о запущенных процессах и сетевых соединениях. Если сервер доступен из интернета и давно не обновлялся, проверка на аномальные учётные записи, задания планировщика, новые службы и подозрительные исходящие соединения выглядит не бюрократией, а разумной гигиеной.
Для разработчиков и владельцев продуктов эта история напоминает о неприятной особенности защитного периметра: WAF не отменяет необходимость патч-менеджмента. Его нередко обслуживают отдельно от приложения, а доступ к консоли и обновления откладывают, потому что «сайт же работает». Но уязвимость SiteGuard WAF с исполнением команд от root или SYSTEM меняет приоритеты: это инцидент уровня инфраструктуры, который может затронуть исходный код, ключи доступа, клиентские данные и соседние системы.
Клиентам SiteGuard стоит проверить точную платформу, версию и состояние функции статистики, сохранить артефакты для расследования, затем без задержки установить подходящее исправление. Главный открытый вопрос теперь не в том, появятся ли автоматические попытки эксплуатации, а в том, сколько публично доступных WAF уже работают на уязвимых сборках и считают себя последней линией защиты.