CVE-2026-106931: Уязвимость внедрения команд ОС в SiteGuard Server Edition компании EG Secure Solutions

Оповещение SiteGuard, цитируемое BleepingComputer, говорит, что уязвимость "была обнаружена в функции статистики SiteGuard Server Edition"[1] и что "злоупотребление уже подтверждено."[1]По данным Security Affairs, SiteGuard — это японский веб-брандмауэр приложений (WAF), который работает непосредственно на защищаемом им веб-сервере[2]. Cyber Kendra сообщает, что функция статистики включена по умолчанию[3]. Security Affairs говорит, что поставщик и JVN оценили уязвимость с баллом CVSS 4.0 в 8,5 и баллом CVSS 3.0 в 7,8[2]. Также отмечается, что для использования этой уязвимости злоумышленнику нужен локальный доступ и права низкого уровня.[2]Поставщик сообщил BleepingComputer, что затронутые версии включают Apache httpd, Nginx и IIS (исключая FreeBSD) версий 2.20 и выше, но до 8.00 Update 5[1], а также Apache httpd и Nginx на FreeBSD версий 2.20 и выше, но до 7.00 Update 6.[1] JPCERT/CC отмечает, что выпуски IIS 3.10 по 4.00 Update 4 включительно не затронуты[1]. По данным Security Affairs, консультативная документация поставщика рекомендует клиентам "загрузить и сохранить вашу "Диагностическую информацию" (так как это может стереть следы атаки)"[2] перед обновлением. eSecurity Planet сообщает, что клиентов с прямыми контрактами на поддержку уведомили об уязвимости и мерах защиты 29 сентября, в то время как открытое консультативное уведомление появилось 14 октября.[4] Издание добавляет, что поставщик не раскрыл, когда началась эксплуатация, кто за ней стоит и сколько систем было скомпрометировано.[4]