Angreifer nutzen CVE-2026-106931 aus, eine Schwachstelle zur Einschleusung von Betriebssystembefehlen in der SiteGuard Server Edition, über die Befehle unter Root-Berechtigungen auf Linux- und FreeBSD-Systemen oder mit SYSTEM-Berechtigungen unter Windows ausgeführt werden können.
Das Patchen ist nur ein Teil der Reaktion. EG Secure Solutions warnt, dass eine Aktualisierung oder die Anwendung des eigenen Patches Angriffsspuren löschen kann. Betroffene Organisationen sollten daher die Diagnoseinformationen von SiteGuard sichern, bevor sie Änderungen zur Behebung vornehmen.
Die Schwachstelle befindet sich in der standardmäßig aktivierten Statistikfunktion der SiteGuard Server Edition. Laut Japan Vulnerability Noteskönnen bei erfolgreicher Ausnutzung beliebige Betriebssystembefehle mit den Berechtigungen des betroffenen Hosts ausgeführt werden.
Wer ist von CVE-2026-106931 betroffen?
SiteGuard Server Edition ist eine hostbasierte Web Application Firewall (WAF), die in einen Webserver integriert wird, statt ausschließlich als separate Netzwerk-Appliance zu laufen.
CVE-2026-106931 betrifft SiteGuard Server Edition ab Version 2.20, wenn die Statistikfunktion aktiviert ist. Die genauen betroffenen Bereiche hängen von der Plattform ab:
- Apache httpd, Nginx und IIS: Versionen ab 2.20 bis vor 8.00 Update 5.
- Apache httpd und Nginx unter FreeBSD: Versionen ab 2.20 bis vor 7.00 Update 6.
- IIS-Versionen von 3.10 bis einschließlich 4.00 Update 4: Nicht betroffen.
Die Statistikfunktion ist standardmäßig aktiviert. Administratoren sollten daher nicht davon ausgehen, dass eine Installation sicher ist, nur weil niemand die Funktion bewusst eingeschaltet hat.
Die Schwachstelle ist als CWE-78, Einschleusung von Betriebssystembefehlen, klassifiziert. Ihr CVSS-4,0-Basisscore beträgt 8,5 (hoch), während ihr CVSS-3,0-Score bei 7,8 liegt. Der CVSS-Score alleinist hier nicht ausschlaggebend, da der Hersteller bereits bestätigt hat, dass die Schwachstelle in freier Wildbahn ausgenutzt wird.
Ein Punkt erfordert besondere Aufmerksamkeit: In den öffentlichen Sicherheitshinweisen wird kein nicht authentifizierter Remote-Exploit beschrieben.
Der offizielle CVSS-Vektor führt den Angriffsvektor als lokalauf, erfordert geringe Berechtigungenund erfordert keine Benutzerinteraktion. Weder EG Secure Solutions noch JPCERT/CC hat offengelegt, wie Angreifer diesen erstmaligen Zugriff erlangen, welche Payloads sie verwenden oder welche Organisationen kompromittiert wurden.
Damit bleibt die Angriffskette unbekannt. Sicherheitsteams sollten nicht davon ausgehen, dass die Schwachstelle direkt aus dem öffentlichen Internet ausgelöst werden kann. Sie sollten aber auch nicht auf weitere technische Details warten, bevor sie Systeme mit den betroffenen Konfigurationen absichern.
Diagnoseinformationen vor dem Anwenden der Lösung sichern
Das Ungewöhnliche an der Reaktion ist die Reihenfolge.
In seinem Sicherheitsbulletinerklärt EG Secure Solutions, dass eine Aktualisierung oder ein Patchen von SiteGuard Angriffsnachweise entfernen kann. Vor der Behebung sollten Administratoren über die Webverwaltungsoberfläche die Diagnoseinformationenherunterladen und aufbewahren:
Webverwaltungsoberfläche > Diagnoseinformationen > Diagnoseinformationen herunterladen
Bewahren Sie dieses Paket getrennt vom betroffenen Server auf. Bei einem Verdacht auf eine Kompromittierung sollte es Teil der üblichen digitalen Forensik und der Beweissicherung zur Reaktion auf Sicherheitsvorfälle werden, statt nur auf dem untersuchten System zu verbleiben.
Nach der Sicherung der Diagnoseinformationen stehen Organisationen drei unterstützte Optionen zur Verfügung:
- Apache-, Nginx- oder IIS-Installationen auf 8.00 Update 5 oder höher aktualisieren.
- Apache- oder Nginx-Installationen unter FreeBSD auf 7.00 Update 6 oder höher aktualisieren.
- Den eigenständigen Patch des Herstellers anwenden, wenn ein vollständiges Upgrade nicht möglich ist. EG Secure Solutions zufolge ist der Patch auch für Versionen verfügbar, deren Supportende erreicht ist.
Für Umgebungen, in denen eine sofortige Aktualisierung oder das Patchen nicht möglich ist, JPCERT/CC zufolge verhindert die Deaktivierung der Statistikfunktion eine Gefährdung durch diese Schwachstelle. Dies sollte als vorläufige Abhilfe betrachtet werden und nicht als Grund, einen verwundbaren Build auf unbestimmte Zeit weiter zu betreiben.
JPCERT/CC empfiehlt außerdem, eine Untersuchung auf eine Kompromittierung der betroffenen Systeme in Betracht zu ziehen, da bereits Ausnutzungen beobachtet wurden.
Was Sicherheitsteams jetzt tun sollten
Eine praktische Reaktion erfordert nicht, auf Exploit-Code oder weitere Berichte über die Angreifer zu warten.
Beginnen Sie mit einer Bestandsaufnahme der Systeme mit SiteGuard Server Edition und gehen Sie dann wie folgt vor:
- Installierte Version und Plattform prüfen.
- Prüfen, ob die Statistikfunktion aktiviert ist.
- Diagnoseinformationen herunterladen und sichern, bevor die Installation geändert wird.
- Betroffene Systeme auf Anzeichen einer Kompromittierung untersuchen.
- Auf die korrigierte Version aktualisieren oder den Herstellerpatch anwenden.
- Statistiken als vorläufige Abhilfe deaktivieren, wenn eine sofortige Behebung nicht möglich ist.
- Systeme nach der Behebung erneut prüfen, um zu bestätigen, dass eine korrigierte Version ausgeführt wird.
EG Secure Solutions zufolge wurden Kunden mit direkten Supportverträgen am 29. Sept. über die Schwachstelle und Gegenmaßnahmen informiert, während der öffentliche Sicherheitshinweis am 14. Okt. veröffentlicht wurde. Der Hersteller hat nicht offengelegt, wann die Ausnutzung begann, wer dahintersteckt oder wie viele Systeme kompromittiert wurden.
Diese Unbekannten ändern nichts an der unmittelbaren Reaktion. Die Statistikfunktion ist standardmäßig aktiviert, die Ausnutzung ist bestätigt, und die Behebung selbst kann wichtige Beweise entfernen. Sichern Sie zuerst die Diagnoseinformationen und schließen Sie anschließend den verwundbaren Angriffsweg.
Auch lesenswert: GitLab hat kürzlich eine Schwachstelle zur Serverübernahmemit einem CVSS-Wert von 10,0 gepatcht.