Se explota una falla del firewall japonés SiteGuard que da control total del servidor

La empresa japonesa EG Secure Solutions publicó el 14 de octubre un aviso sobre una falla en SiteGuard Server Edition, su firewall de aplicaciones web (WAF) que se instala en el mismo servidor del sitio. La falla, CVE-2026-106931, ya se explota, según el fabricante y el centro de coordinación japonés JPCERT/CC, y permite ejecutar comandos con los máximos privilegios del sistema (root o SYSTEM). El fabricante había avisado a sus clientes con soporte directo el 29 de septiembre.

Qué es la falla

En simple: el producto que debería proteger al sitio se convierte en la puerta de entrada. Un atacante que logra abusar de la función de estadísticas del firewall termina con control total del servidor.

La capa técnica es una inyección de comandos del sistema operativo (CWE-78) en la función de estadísticas, que viene activada por defecto. Según la base japonesa de vulnerabilidades JVN, el ataque requiere acceso local con privilegios bajos, por eso su puntaje queda en 7,8 y no en el rango crítico. Ni el fabricante ni JPCERT/CC detallaron cómo se explota, desde cuándo ni quién está detrás.

A quién afecta

A SiteGuard Server Edition desde la versión 2.20 para Apache httpd, Nginx e IIS, hasta antes de la 8.00 Update 5, y para Apache httpd y Nginx en FreeBSD hasta antes de la 7.00 Update 6. Las ediciones para IIS de la 3.10 a la 4.00 Update 4 no están afectadas. Según el fabricante, el producto protege más de 1,5 millones de sitios, sobre todo en Japón. El complemento SiteGuard para WordPress es otro producto y no figura entre los afectados.

Estado de explotación

Explotada, según EG Secure Solutions y JVN, que confirman ataques reales. No hay cifras de servidores comprometidos ni indicadores de compromisoRastros técnicos, como direcciones IP, nombres de archivo o huellas digitales de archivos, que permiten detectar si un sistema fue atacado por una amenaza conocida. públicos.

Qué hacer

• Antes de actualizar, guardar la evidencia: el fabricante advierte que el arreglo puede borrar los rastros del ataque. Desde la interfaz web de gestión, descargar la información de diagnóstico.
• Actualizar a la 8.00 Update 5 (Apache httpd, Nginx e IIS) o a la 7.00 Update 6 (FreeBSD).
• Si no se puede actualizar, aplicar el parche del fabricante, que reemplaza los archivos del procesamiento de estadísticas y sirve también para versiones sin soporte.
• Mientras tanto, JPCERT/CC recomienda desactivar la función de estadísticas.

Ficha técnica

• CVE: CVE-2026-106931
• CVSS: 7,8 (CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H) y 8,5 en CVSS 4.0, según JVN
• CWE: CWE-78, inyección de comandos del sistema operativo
• Producto: SiteGuard Server Edition, de EG Secure Solutions
• Versiones corregidas: 8.00 Update 5 y 7.00 Update 6 (FreeBSD)
• Avisos: EG Secure Solutions y JVNDB-2026-000148, 14 de octubre de 2026; JPCERT-AT-2026-0032