A quién va dirigido: administradores que ejecutan SiteGuard Server Edition, un firewall de aplicaciones web (WAF: software integrado en el servidor web que bloquea ataques a las aplicaciones web) basado en host de origen japonés, en sus propios servidores o VPS. Esta página se basa en el aviso del fabricante, JVN, JPCERT/CC y los datos públicos de CISA. No explica cómo funcionan los ataques.
En desarrollo: esta página se actualizará cuando haya más información
A las 11:00 UTC del 24 de octubre de 2026Aún no se sabe
- Cuándo comenzó la explotación y quién está detrás
- Cuántas organizaciones fueron afectadas
- Si SiteGuard Lite y otros productos distintos de Server Edition están afectados
- Cómo desactivar la función de estadísticas (no se describe en el aviso del fabricante)
El fabricante publicó su aviso el 14 de octubre, y JVN y JPCERT/CC publicaron sus entradas el mismo día. CISA añadió la falla a KEV el 20 de octubre. Ninguno indica cuándo comenzó la explotación, quién está detrás ni cuántas víctimas hay. Esta página se actualizará cuando se revise el aviso.
Qué hacer hoy (si usa Server Edition)
Compruebe la edición, la versión y la función de estadísticas
Compruebe qué edición usa (Apache, Nginx, IIS, o Apache o Nginx para FreeBSD) y su versión, y use la tabla de abajo para ver si está afectado. Compruebe también si la función de estadísticas está activada. El fabricante dice que está activada por defecto. Si nunca la cambió, suponga que está activada.
Descargue y conserve los datos de diagnóstico antes de actualizar
El fabricante dice que aplicar la actualización o el parche puede borrar rastros de un ataque. En la pantalla de administración web, abra 診断情報 (Información de diagnóstico) y ejecute 診断情報をダウンロード (Descargar información de diagnóstico), tal como se nombran en el aviso en japonés del fabricante, y guarde una copia fuera del servidor. Si ejecuta el producto en varios servidores, haga esto en cada uno.
Actualice a la versión corregida
La falla está corregida en Ver8.00 Update5 para las ediciones Apache, Nginx e IIS (sin incluir FreeBSD), y en Ver7.00 Update6 para las ediciones Apache y Nginx para FreeBSD.
Si no puede actualizar, aplique el parche
Para los clientes que tienen dificultades para actualizar, el fabricante ofrece un parche que reemplaza el archivo usado para el procesamiento de estadísticas. Se cubren las versiones sin soporte. Consulte con su contacto de soporte (indicado en su documento de confirmación de contrato o en el revendedor al que compró).
Si no puede hacer ninguna de las dos cosas de inmediato, desactive las estadísticas
JPCERT/CC dice que desactivar la función de estadísticas evita el problema. Consulte la información más reciente del fabricante para conocer los pasos. Desactivarla no sustituye aplicar la corrección o el parche (nuestra recomendación).
Busque señales de compromiso
No se ha publicado cuándo comenzó la explotación. Revise los datos de diagnóstico guardados y los registros del servidor en busca de procesos, archivos, cuentas o conexiones salientes que no reconozca. Nuestra guía sobre cómo comprobar si su sitio web o servidor fue hackeado explica cómo hacerlo. Si algo parece anormal, contacte con el servicio de soporte del fabricante o con JPCERT/CC.
¿Está afectado? Referencia rápida
| Qué usa | ¿Afectado? (aviso del fabricante) | Versión objetivo |
|---|---|---|
| Ediciones Apache, Nginx, IIS: Ver2.20 o posterior, anterior a Ver8.00 Update5 | Sí, si las estadísticas están activadas | Ver8.00 Update5 |
| Ediciones Apache, Nginx para FreeBSD: Ver2.20 o posterior, anterior a Ver7.00 Update6 | Sí, si las estadísticas están activadas | Ver7.00 Update6 |
| Edición IIS: de Ver3.10 a Ver4.00 Update4 | No afectada | No indicada |
| Anterior a Ver2.20 | El rango afectado se indica como Ver2.20 y posteriores | No indicada |
| Función de estadísticas desactivada | Afectada solo cuando las estadísticas están activadas | Se recomienda igualmente aplicar la corrección (nuestra opinión) |
| Versiones sin soporte | Afectadas si están dentro del rango | Parche (cubre versiones sin soporte) |
| SiteGuard Lite y otros productos | No mencionados por el fabricante, JVN ni JPCERT/CC | Consulte los avisos de su proveedor (por ejemplo, su proveedor de hosting) |
Las versiones anteriores a Ver2.20 y las versiones sin soporte pueden carecer de otras correcciones además de esta. Aunque quede fuera del rango de esta falla, considere pasar a una versión con soporte (nuestra opinión).
1. Edición
Apache, Nginx, IIS / FreeBSD
2. Versión
Ver2.20 o posterior, anterior a la corrección
3. Estadísticas
Afectado si están activadas (activadas por defecto)
Qué se divulgó (aviso del fabricante)
- CVE
- CVE-2026-106931 (JVN#88474777)
- Tipo
- Inyección de comandos del sistema operativo (CWE-78) en la función de estadísticas
- Gravedad
- CVSS v3.0 7.8, v4.0 8.5 (calificación del fabricante). Vector de ataque local, privilegios requeridos bajos, sin interacción del usuario
- Impacto
- Pueden ejecutarse comandos arbitrarios del sistema operativo con privilegios de root o SYSTEM en el servidor que ejecuta el producto
- Afectado
- Ver2.20 y posteriores con estadísticas activadas: ediciones Apache, Nginx e IIS anteriores a Ver8.00 Update5; ediciones Apache y Nginx para FreeBSD anteriores a Ver7.00 Update6
- No afectado
- Edición IIS de Ver3.10 a Ver4.00 Update4
- Corrección
- Actualizar a la versión corregida, o aplicar el parche que reemplaza el archivo de procesamiento de estadísticas (incluye versiones sin soporte)
- Explotación
- El fabricante dice que se ha confirmado la explotación
- Aviso previo
- Los clientes con contratos de soporte fueron notificados individualmente el 29 de septiembre de 2026
Según JVN, el propio fabricante comunicó el problema a IPA, y JPCERT/CC coordinó. JPCERT/CC dice que ha confirmado que el producto se usa ampliamente en Japón, y pide a los usuarios que consideren investigar un posible compromiso además de aplicar las medidas.
CISA añadió CVE-2026-106931 a KEV el 20 de octubre y fijó el 23 de octubre como fecha límite para las agencias federales de EE. UU. La entrada de KEV la marca como que requiere triaje forense. El uso conocido en campañas de ransomware figura como "Unknown" (desconocido).
Cómo interpretar la calificación "local, privilegios bajos"
La calificación CVSS del fabricante tiene vector de ataque local (AV:L) y privilegios bajos requeridos (PR:L). No es la calificación de una falla que cualquiera pueda explotar directamente desde internet. Esta puntuación supone algún acceso de bajo nivel al servidor (nuestra interpretación). La descripción de KEV de CISA dice simplemente "an attacker" (un atacante) y no menciona esta condición.
Hay condiciones, pero la explotación ya está ocurriendo
El fabricante ha confirmado la explotación. No ha dicho cómo obtuvieron los atacantes el acceso necesario. Recomendamos no restarle prioridad por la calificación condicional.
En opinión de este sitio, una falla de este tipo puede convertir un acceso ordinario, obtenido por otro error de una aplicación web o por una cuenta filtrada, en control de administrador de todo el servidor. Un WAF se instala para proteger las aplicaciones web; si el propio WAF se convierte en una vía a derechos de administrador, esa premisa deja de cumplirse.
Práctica de riesgo
- No comprobar nunca la versión del propio WAF después de instalarlo
- Dejar las estadísticas activadas por defecto sin saber si se usan
- Actualizar de inmediato sin guardar ningún rastro
- Dejar sin revisar las cuentas generales del servidor y los permisos de las aplicaciones web
Práctica que limita el daño
- Seguir el WAF en el mismo proceso de actualización que el resto del software
- Desactivar las funciones que no se usan
- Guardar los datos de diagnóstico y los registros antes de actualizar y luego buscar rastros
- Mantener las cuentas del servidor y los permisos de las aplicaciones web al mínimo
Para saber cómo priorizar las fallas incluidas en KEV, consulte cómo decidir qué parchear primero con CVSS, EPSS y KEV. Ordenar solo por la puntuación CVSS puede bajar de la lista una falla que se está explotando.
Si usa SiteGuard Lite u otro producto
El aviso del fabricante, JVN y la alerta de JPCERT/CC están redactados para SiteGuard Server Edition. Ninguno menciona SiteGuard Lite ni otros productos. Este sitio no ha encontrado información oficial que aclare si Lite está afectado.
Si usa el WAF como función de un plan de hosting, el proveedor suele encargarse de las actualizaciones del WAF. Consulte los avisos o las páginas de soporte de su proveedor para saber cómo está tratando esta falla. Para saber qué deben hacer los clientes cuando un proveedor tiene un problema, consulte cuando su proveedor de hosting web sufre una brecha.
Qué aún no se sabe
| Elemento | Estado |
|---|---|
| Explotación activa | Confirmada (fabricante, CISA) |
| Cuándo comenzó la explotación, quién está detrás | No indicado |
| Número de organizaciones afectadas | No indicado |
| Código de explotación público | No mencionado (aviso y KEV) |
| SiteGuard Lite y otros productos | No mencionados |
| Pasos para desactivar las estadísticas | No figuran en el aviso del fabricante (JPCERT/CC remite a la información más reciente del fabricante) |
No se ha publicado el número ni los nombres de las organizaciones de Japón que usan este producto. Este sitio no nombra a ninguna organización basándose en conjeturas.
Fuentes
- EG Secure Solutions, aviso sobre la vulnerabilidad de inyección de comandos del sistema operativo en SiteGuard Server Edition (en japonés, 14 de octubre de 2026) — eg-secure.co.jp
- JVN, "JVN#88474777: Vulnerabilidad de inyección de comandos del sistema operativo en SiteGuard Server Edition" (en japonés, 14 de octubre de 2026) — jvn.jp
- JPCERT/CC, alerta sobre CVE-2026-106931 en SiteGuard Server Edition (JPCERT-AT-2026-0032, en japonés, 14 de octubre de 2026) — jpcert.or.jp
- CISA, Known Exploited Vulnerabilities Catalog (CVE-2026-106931) — cisa.gov
Historial de actualizaciones
2026-10-24: primera versión, basada en el aviso del fabricante, JVN, la alerta de JPCERT/CC y el catálogo KEV de CISA.
Leer a continuación
- Priorizar las correcciones: Cómo decidir qué parchear primero: CVSS, EPSS y KEV
- Comprobar si hubo compromiso: Cómo comprobar si su sitio web o servidor fue hackeado
- Si usa hosting compartido: Cuando su proveedor de hosting web sufre una brecha
- Otra falla urgente del mismo período: Vulnerabilidades de PHP CVE-2026-109618 y CVE-2026-109619
- Glosario: ¿Qué es una puerta trasera? / ¿Qué es CVSS?