A EG Secure Solutions alertou que uma falha no SiteGuard Server Edition está sendo explorada e que aplicar a correção pode remover sinais de um ataque anterior.
A falha, catalogada como CVE-2026-106931 (sigla de Common Vulnerabilities and Exposures, ou vulnerabilidades e exposições comuns), afeta o recurso de estatísticas do produto, que vem habilitado por padrão. Antes de atualizar, os administradores devem salvar informações de diagnóstico para verificar se o servidor já foi comprometido.
O SiteGuard Server Edition é um firewall de aplicação web (WAF) baseado em host, que roda no próprio servidor web que protege. A vulnerabilidade é uma falha de injeção de comando do sistema operacional (SO) na função de estatísticas.
Se explorada, ela pode permitir que um atacante execute comandos com privilégios de root em sistemas Linux ou FreeBSD, ou com privilégios de SYSTEM no Windows. A falha recebeu nota 8,5 no CVSS 4.0 (Sistema de Pontuação de Vulnerabilidades Comuns) e 7,8 no CVSS 3.0.
Pesquisadores do Japan Vulnerability Notes (JVN) observaram que a falha já havia sido explorada na natureza. O comunicado da JVN não identifica nenhuma família de malware, atacante, vítima ou método específico usado nesses ataques, e não publica valores hash nem outros indicadores técnicos.
A exploração confirmada torna importante que as organizações investiguem os sistemas afetados, em vez de tratar uma atualização bem-sucedida como prova de que nenhuma invasão ocorreu.
O risco se aplica ao SiteGuard Server Edition versão 2.20 e posteriores quando as estatísticas estão habilitadas, sujeito a exceções específicas. Para Apache httpd, Nginx e IIS (Internet Information Services), as versões anteriores à 8.00 Update 5 são afetadas.
No caso do Apache httpd e do Nginx em FreeBSD, as versões anteriores à 7.00 Update 6 são afetadas. As versões 3.10 a 4.00 Update 4 do IIS não são afetadas. Os administradores devem confirmar o produto, a plataforma, a versão e a configuração de estatísticas exatos no comunicado de segurança da JVN.
SiteGuard alerta sobre correção de falha explorada ativamente
A injeção de comando ocorre quando um software processa entradas de forma que elas possam ser tratadas como um comando do sistema. Neste caso, o código afetado está no processamento de estatísticas do SiteGuard, e não nas regras comuns de filtragem de tráfego do WAF.
Como o SiteGuard roda no próprio servidor, uma exploração bem-sucedida pode ir além do WAF e dar ao atacante controle sobre o host.
Isso pode expor dados, permitir alterações em arquivos ou configurações, ou interromper serviços. A JVN descreve o acesso necessário como local, com privilégios baixos; o caso não é descrito como uma falha remota sem autenticação.
O episódio também mostra por que WAFs não devem ser tratados como defesa completa para os sistemas que protegem. Equipes de segurança devem manter o WAF e seu host atualizados, restringir o acesso administrativo e monitorar atividades incomuns no servidor.
A GBHackers também já cobriu fragilidades em WAFs e técnicas de contorno de filtros de segurança desses produtos, o que ilustra que eles próprios precisam de correções e monitoramento cuidadosos.
Salve evidências antes da correção
A EG Secure Solutions alerta que a atualização para uma versão corrigida pode apagar vestígios de um ataque. O JPCERT/CC (Centro de Coordenação de Resposta a Emergências de Computadores do Japão) recomenda preservar as informações de diagnóstico do produto antes da atualização.
Os administradores devem usar a tela de gerenciamento web do SiteGuard para baixar e armazenar essas informações e, em seguida, seguir as instruções do fornecedor para a correção.
Guarde o arquivo em local protegido e registre quando e onde ele foi coletado, para que os investigadores possam usá-lo em uma análise posterior.
Isso é importante porque a correção altera o software afetado. Se atividades suspeitas forem descobertas depois, a falta de dados de diagnóstico pode dificultar a identificação do que aconteceu antes da atualização.
Organizações com sinais de comprometimento devem preservar os registros relevantes do sistema e de segurança e seguir seu processo de resposta a incidentes antes de fazer mudanças que possam afetar evidências.
O comunicado disponível não diz que toda atualização apagará evidências, mas alerta claramente que vestígios podem ser removidos. A correção recomendada é atualizar para a versão corrigida: a 8.00 Update 5 para Apache httpd, Nginx e IIS, ou a 7.00 Update 6 para Apache httpd e Nginx em FreeBSD.
O fornecedor também oferece um patch que substitui arquivos usados no processamento de estatísticas, inclusive para algumas versões no fim de vida útil. O JPCERT/CC afirma que desativar o recurso de estatísticas também pode evitar a exposição; os administradores devem confirmar os passos com a EG Secure Solutions antes de adotar essa solução alternativa.
A cronologia da divulgação traz contexto. A EG Secure Solutions afirma que notificou os clientes com contratos de suporte direto em 29 de setembro de 2026.
O comunicado público da JVN veio em 14 de outubro. A JVN informa que o desenvolvedor reportou a vulnerabilidade à IPA (Agência de Promoção de Tecnologia da Informação do Japão), com o JPCERT/CC coordenando a divulgação.
O fornecedor confirmou a exploração, mas os comunicados publicados não informam quantos sistemas foram afetados nem descrevem os ataques em detalhes.
Indicadores de comprometimento (IoCs)
Observação: Endereços IP e domínios foram intencionalmente desfigurados (ex.: [.]) para evitar resolução ou hiperlinks acidentais. A reconversão deve ser feita apenas em plataformas controladas de inteligência de ameaças, como MISP, VirusTotal ou seu SIEM (sistema de gerenciamento de eventos e informações de segurança).
