1 artículo con esta etiqueta
El 14 de octubre de 2026, EG Secure Solutions divulgó CVE-2026-106931, una vulnerabilidad de inyección de comandos del sistema operativo en la función de estadísticas de SiteGuard Server Edition, su firewall de aplicaciones web (WAF) basado en host, y dijo que ya se ha confirmado su explotación. La explotación puede permitir ejecutar comandos arbitrarios del sistema operativo con privilegios de root o SYSTEM en el servidor que ejecuta el producto. Están afectadas las versiones Ver2.20 y posteriores con la función de estadísticas activada (está activada por defecto): las ediciones Apache, Nginx e IIS anteriores a Ver8.00 Update5, y las ediciones Apache y Nginx para FreeBSD anteriores a Ver7.00 Update6. La edición IIS desde Ver3.10 hasta Ver4.00 Update4 no está afectada. Las correcciones son Ver8.00 Update5 y Ver7.00 Update6; para los sistemas que no se pueden actualizar hay un parche, incluso para versiones sin soporte. El fabricante califica la falla con vector de ataque local y privilegios bajos requeridos (CVSS v3.0 7.8, v4.0 8.5). JPCERT/CC emitió una alerta, indicando que ha confirmado que el producto se usa ampliamente en Japón y que desactivar la función de estadísticas evita el problema. CISA añadió la falla a su catálogo de vulnerabilidades explotadas conocidas (KEV) el 20 de octubre con fecha límite el 23 de octubre. Conclusión de este sitio: si usa Server Edition, compruebe hoy la versión y la función de estadísticas, guarde los datos de diagnóstico antes de actualizar y luego aplique la versión corregida o el parche.