Atacantes estão explorando uma falha de injeção de comandos no sistema operacional do SiteGuard Server Edition, um WAF (firewall de aplicação web) usado para proteger sites. Com ela, é possível executar comandos com privilégios de root, em Linux, ou SYSTEM, em Windows, ou seja, com o controle mais alto da máquina.

A falha foi identificada como CVE-2026-106931, um código público usado para catalogar vulnerabilidades. Ela afeta a função de estatísticas das instâncias do WAF baseadas em host, função que vem ativada por padrão. Segundo a fonte, o aviso do fabricante e um alerta da agência japonesa CERT classificam a falha como crítica e confirmam que ela já está sendo explorada na prática.

O SiteGuard é um WAF japonês que, segundo a empresa, protege mais de 1,5 milhão de sites. Pelas estatísticas do WordPress.org, o produto está ativo em cerca de 500 mil sites. Ainda não se sabe quem são os atacantes, quais foram as vítimas, a escala dos ataques nem os métodos usados, pois nenhum dos avisos traz esses detalhes.

As versões afetadas são o SiteGuard Server Edition para Apache httpd, Nginx e IIS, exceto no FreeBSD, nas versões 2.20 a 8.00 antes da Update 5, e para Apache httpd e Nginx no FreeBSD, nas versões 2.20 a 7.00 antes da Update 6. A exploração só é possível se a função de estatísticas estiver ativa. Segundo o JPCERT/CC, as edições IIS das versões 3.10 até 4.00 Update 4 não são afetadas.

Para instalações que não podem ser atualizadas, o fabricante oferece um patch que substitui arquivos usados no processamento das estatísticas, inclusive em versões fora de suporte. O fabricante alerta que a correção pode apagar vestígios do ataque, por isso recomenda guardar evidências antes de aplicar a atualização, baixando as informações de diagnóstico pela interface de gerenciamento web. Os clientes com contato direto de suporte foram avisados da falha em 29 de setembro.

A recomendação geral é verificar se a versão instalada está entre as afetadas, guardar as evidências, atualizar ou aplicar o patch e seguir as instruções oficiais do fabricante.