Sowohl das Bulletin des Herstellers als auch eine Warnung der japanischen CERT-Stelle JPCERT/CC weisen auf die laufende Ausnutzung hin. „In der Statistikfunktion von SiteGuard Server Edition wurde eine OS-Command-Injection-Schwachstelle (CVE-2026-106931) gefunden. Ein Missbrauch wurde bereits bestätigt", heißt es in der Warnmeldung von SiteGuard. Angaben zu den Angreifern, zu Opfern, zum Ausmaß der Angriffe oder zum Vorgehen enthalten beide Sicherheitshinweise nicht.
SiteGuard ist ein führender japanischer WAF-Anbieter, der nach eigenen Angaben mehr als 1,5 Millionen Websites schützt. Laut Statistiken von WordPress.org ist das Produkt auf 500.000 Websites aktiv.
Nach Herstellerangaben sind folgende Versionen verwundbar:
- SiteGuard Server Edition für Apache httpd, Nginx und IIS (ausgenommen FreeBSD) in den Versionen 2.20 und neuer vor 8.00 Update 5
- SiteGuard Server Edition für Apache httpd und Nginx unter FreeBSD in den Versionen 2.20 und neuer vor 7.00 Update 6
Eine erfolgreiche Ausnutzung ist in diesen Versionen möglich, sofern die Statistikfunktion aktiv ist. Die IIS-Ausgaben 3.10 bis einschließlich 4.00 Update 4 sind laut JPCERT/CC nicht betroffen.
Für Installationen, die sich nicht aktualisieren lassen, stellt der Hersteller einen Patch bereit, der die für die Statistikverarbeitung genutzten Dateien ersetzt — auch für Versionen, deren Support bereits ausgelaufen ist.
Der Hersteller weist darauf hin, dass die Behebung Spuren eines Angriffs löschen kann, und empfiehlt Administratoren, vor dem Update oder dem Einspielen des Patches Beweismaterial zu sichern. Dazu sollen sie über die Web-Verwaltungsoberfläche die „Diagnoseinformationen" herunterladen und aufbewahren (Web-Verwaltungsbildschirm -> Diagnoseinformationen -> Diagnoseinformationen herunterladen).
Kunden mit direkten Supportverträgen wurden laut Hersteller bereits am 29. September über die Schwachstelle informiert.