SiteGuard Server Edition : la faille CVE-2026-106931 est déjà exploitée

La faille CVE-2026-106931, une injection de commande dans SiteGuard Server Edition, un pare-feu applicatif web (WAF) d'un éditeur japonais, permet d'exécuter des commandes avec les droits root ou SYSTEM et est exploitée par des attaquants, ce que l'éditeur a confirmé selon BleepingComputer le 18 octobre 2026.

Qu'est-ce que la faille CVE-2026-106931 ?

Il s'agit d'une injection de commande système, jugée critique. Elle se trouve dans la fonction de statistiques des instances WAF hôtes, activée par défaut. Un WAF se place devant un site pour filtrer le trafic : y obtenir un accès root revient à prendre la main sur la machine censée protéger les applications.

L'éditeur revendique plus de 1,5 million de sites protégés, et le plugin WordPress associé compte environ 500 000 sites actifs d'après WordPress.org. Ces chiffres donnent un ordre de grandeur du parc exposé, pas le nombre de serveurs réellement vulnérables : l'exploitation exige que la fonction de statistiques soit active.

Quelles versions sont concernées ?

• Apache httpd, Nginx et IIS (hors FreeBSD) : versions 2.20 et ultérieures, avant la 8.00 Update 5 ;

• Apache httpd et Nginx sur FreeBSD : versions 2.20 et ultérieures, avant la 7.00 Update 6 ;

• Les éditions IIS de 3.10 à 4.00 Update 4 incluses ne sont pas touchées, selon le JPCERT/CC, le centre japonais de coordination de la réponse aux incidents.

Que sait-on de l'exploitation ?

L'éditeur écrit que l'abus est déjà confirmé. Il avait prévenu dès le 29 septembre 2026 les clients disposant d'un contact de support direct, soit près de trois semaines avant l'article de BleepingComputer. En revanche, l'identité des attaquants, les victimes, l'ampleur et les méthodes précises ne figurent dans aucun des avis cités, et aucun indicateur de compromission (adresse IP, empreinte de fichier) n'est publié.

Comment se protéger ?

• Installer les versions corrigées dès que possible.

• Pour les installations impossibles à mettre à jour, y compris en fin de vie, appliquer le correctif proposé par l'éditeur, qui remplace les fichiers de traitement des statistiques.

• Avant toute remédiation, télécharger les informations de diagnostic depuis l'interface de gestion : l'éditeur avertit que la correction peut effacer les traces d'une attaque.

Cette affaire s'ajoute à la série d'équipements de bordure exploités avant correctif, comme les trois zero-days d'Ivanti Connect Secure récemment décrits.

Source

BleepingComputer : Hackers exploit SiteGuard WAF flaw to run commands as admins, 18 octobre 2026. Sources primaires citées par BleepingComputer : l'alerte 202610-1 de l'éditeur SiteGuard et l'avis JVN88474777 du JPCERT/CC.