In questo articolo Indice dei contenuti 2 sezioni
Una grave vulnerabilità presente in SiteGuard Server Edition, il web application firewall sviluppato in Giappone, è già sfruttata attivamente dagli hacker per eseguire comandi con privilegi di root o SYSTEM sulle macchine colpite. Si tratta di una falla di tipo OS command injection, quindi di un difetto che permette di far girare comandi direttamente sul sistema operativo che ospita il servizio. Il fatto che gli attacchi siano già in corso rende la faccenda tutt’altro che teorica per chi affida la protezione dei propri siti a questo prodotto.
Il problema è stato catalogato con l’identificativo CVE 2026 106931 e riguarda la funzione delle statistiche presente nelle istanze del firewall installate direttamente sul server. Non è un dettaglio secondario, perché questa funzionalità risulta attiva di default. Molte installazioni, quindi, potrebbero essere esposte anche se nessuno ha mai modificato le impostazioni originali.
Una falla critica già nel mirino degli attaccanti
SiteGuard è uno dei principali fornitori giapponesi di WAF e dichiara di proteggere più di 1,5 milioni di siti web. Solo nell’ecosistema WordPress il prodotto risulta attivo su circa 500.000 siti, numeri che danno un’idea abbastanza chiara della platea potenzialmente coinvolta. Sia il bollettino pubblicato dal produttore sia l’avviso diffuso dall’agenzia giapponese JPCERT/CC classificano la vulnerabilità come critica e confermano che è già sfruttata in attacchi reali.
Il messaggio dell’azienda è piuttosto diretto. Nell’avviso si legge che è stata individuata una vulnerabilità di tipo OS command injection nella funzione delle statistiche di SiteGuard Server Edition e che gli abusi sono già stati confermati. Mancano però diversi tasselli. Nessuno dei due bollettini chiarisce chi ci sia dietro gli attacchi, quali siano le vittime, quanto siano estese le campagne e con quali tecniche venga sfruttata la falla.
Versioni coinvolte e come intervenire
Secondo il produttore la CVE 2026 106931 interessa SiteGuard Server Edition per Apache httpd, Nginx e IIS, escluso FreeBSD, dalla versione 2.20 in poi e fino a prima della 8.00 Update 5. Sono vulnerabili anche le edizioni per Apache httpd e Nginx su FreeBSD a partire dalla 2.20 e precedenti alla 7.00 Update 6. In tutte queste versioni l’attacco può andare a segno solo se la funzione delle statistiche è attiva. JPCERT/CC precisa inoltre che le edizioni per IIS comprese tra la 3.10 e la 4.00 Update 4 non sono coinvolte.
Per chi non può procedere subito con l’aggiornamento l’azienda mette a disposizione una patch che sostituisce i file impiegati nell’elaborazione delle statistiche. La correzione è disponibile anche per le versioni ormai arrivate a fine supporto, una scelta che va incontro a chi gestisce installazioni datate e difficili da migrare.
C’è però un aspetto delicato da tenere presente prima di mettere mano ai sistemi. Il produttore avverte che gli interventi di correzione potrebbero cancellare le tracce degli attacchi e per questo raccomanda agli amministratori di conservare le prove prima di aggiornare o applicare la patch. La procedura indicata consiste nello scaricare e archiviare le informazioni diagnostiche dall’interfaccia di gestione web, passando dalla schermata di gestione alla sezione dedicata alle informazioni diagnostiche e scegliendo l’opzione per il download. In questo modo resta disponibile materiale utile per capire se e come il server sia stato compromesso.
L’azienda ha infine spiegato che i clienti con un contatto di assistenza diretto erano già stati avvisati della falla in anticipo, il 29 settembre.
Fonte: TecnoAndroid