Están explotando un fallo de inyección de comandos en SiteGuard Server Edition, un firewall de aplicaciones web. Esta vulnerabilidad, identificada como CVE-2026-106931, afecta a la función de estadísticas del producto y podría permitir que los atacantes ejecuten comandos del sistema operativo con privilegios de root o SYSTEM, otorgándoles potencialmente el control total del servidor afectado.

• Fallo de inyección de comandos en SiteGuard Server Edition, un firewall de aplicaciones web instalado directamente en los servidores protegidos.

Rastreada como CVE-2026-106931, la vulnerabilidad podría permitir que los atacantes ejecuten comandos del sistema operativo con privilegios de root o SYSTEM, otorgándoles potencialmente el control total de un servidor afectado.

El fallo afecta a la función de estadísticas del producto, que está activada por defecto. EG Secure Solutions confirmó la explotación y notificó a los clientes con contratos de soporte directo el 29 de septiembre de 2026. El servicio de coordinación de vulnerabilidades de Japón publicó su aviso JVN el 14 de octubre, mientras que JPCERT/CC también emitió una alerta.

La debilidad está clasificada como inyección de comandos de SO bajo CWE-78. Permite a los atacantes ejecutar comandos del sistema operativo a través de la función de procesamiento de estadísticas del software afectado.

Dichos comandos pueden ejecutarse con privilegios de root en sistemas Unix o privilegios de SYSTEM en Windows, en lugar de los permisos existentes del atacante. Sin embargo, las calificaciones de severidad publicadas describen un ataque local que requiere privilegios bajos y ninguna interacción del usuario.

Explotan Vulnerabilidad de SiteGuard WAF

Por lo tanto, debes entender esto como una ruta desde un acceso limitado hacia privilegios más altos, no como un ataque remoto confirmado sin necesidad de inicio de sesión. La vulnerabilidad tiene una puntuación de 8.5 bajo CVSS 4.0 y 7.8 bajo CVSS 3.0.

Ninguno de los avisos identifica a los atacantes, las organizaciones afectadas, el volumen de ataques o el método exacto de explotación. Riesgos similares que involucran dispositivos de seguridad han aparecido en la cobertura de Cyber Security News sobre una vulnerabilidad de inyección de comandos en Hillstone WAF. No obstante, ese problema es independiente de SiteGuard.

Las versiones afectadas comienzan en SiteGuard Server Edition versión 2.20 cuando las estadísticas están activadas. Para las ediciones de Apache, Nginx e IIS fuera de FreeBSD, debes actualizar a la versión 8.00 Update 5. Las instalaciones de FreeBSD que utilicen Apache o Nginx deben pasar a la versión 7.00 Update 6.

Existe una excepción importante para los despliegues en Windows. Las ediciones de IIS desde la versión 3.10 hasta la versión 4.00 Update 4 no están afectadas. Por lo tanto, es necesario comprobar tanto la versión instalada como la configuración de las estadísticas al evaluar la exposición.

Las organizaciones que no puedan actualizar pueden obtener un parche que reemplaza los archivos utilizados para el procesamiento de estadísticas. El proveedor también ofrece esta opción para las versiones cuyo soporte ha finalizado.

Debes guardar la información de diagnóstico antes de instalar una actualización o parche, ya que la remediación puede borrar rastros de un ataque. En la interfaz de gestión web, abre "Información de diagnóstico", luego selecciona "Descargar información de diagnóstico" y conserva los datos descargados antes de realizar cambios.

Este enfoque de priorizar la evidencia respalda la investigación posterior, como se explica en la guía de Cyber Security News sobre forenses digitales y respuesta a incidentes. Con la explotación confirmada, las organizaciones afectadas deben preservar los diagnósticos y aplicar rápidamente la corrección adecuada.