CVE-2026-106931 : Vulnérabilité d'injection de commande OS dans SiteGuard Server Edition d'EG Secure Solutions

L'alerte de SiteGuard, citée par BleepingComputer, indique que la flaw "a été découverte dans la fonction de statistiques de SiteGuard Server Edition"[1] et que "un abus a déjà été confirmé."[1]Selon Security Affairs, SiteGuard est un pare-feu d'application web (WAF) japonais qui s'exécute directement sur le serveur web qu'il protège[2]. Cyber Kendra rapporte que la fonctionnalité de statistiques est activée par défaut[3].Security Affairs indique que le fournisseur et JVN ont évalué la vulnérabilité avec un score CVSS 4.0 de 8,5 et un score CVSS 3.0 de 7,8[2]. Il note également que un attaquant a besoin d'un accès local et de privilèges de bas niveau pour exploiter cette vulnérabilité.[2]Le fournisseur a déclaré à BleepingComputer que les versions affectées incluent Apache httpd, Nginx et IIS (excluant FreeBSD) versions 2.20 et ultérieures, avant 8.00 Update 5[1], ainsi que Apache httpd et Nginx sur FreeBSD versions 2.20 et ultérieures, avant 7.00 Update 6.[1] JPCERT/CC note que les éditions IIS 3.10 à 4.00 Update 4 inclusivement ne sont pas affectées[1].Selon Security Affairs, l'avis du fournisseur demande aux clients de "télécharger et enregistrer vos "Informations de diagnostic" (car cela peut effacer les traces de l'attaque)"[2] avant de procéder à la mise à jour.eSecurity Planet rapporte que les clients disposant de contrats d'assistance directe ont été notifiés de la vulnérabilité et des contre-mesures le 29 septembre, tandis que l'avis public est arrivé le 14 octobre.[4] Le média ajoute que le fournisseur n'a pas révélé quand l'exploitation a commencé, qui en est responsable ou combien de systèmes ont été compromis.[4]