Para quem é esta página: administradores que executam o SiteGuard Server Edition, um firewall de aplicações web (WAF: software integrado ao servidor web que bloqueia ataques a aplicações web) baseado em host e feito no Japão, em servidores próprios ou VPS. Esta página se baseia no aviso do fornecedor e nos dados públicos do JVN, do JPCERT/CC e da CISA. Ela não explica como os ataques funcionam.
Em andamento: esta página será atualizada conforme novas informações forem publicadas
Em 24 de outubro de 2026, 11:00 UTCAinda não se sabe
- Quando a exploração começou e quem está por trás dela
- Quantas organizações foram afetadas
- Se o SiteGuard Lite e outros produtos além do Server Edition são afetados
- Como desativar o recurso de estatísticas (não descrito no aviso do fornecedor)
O fornecedor publicou seu aviso em 14 de outubro, e o JVN e o JPCERT/CC publicaram seus registros no mesmo dia. A CISA incluiu a falha no KEV em 20 de outubro. Nenhum deles diz quando a exploração começou, quem está por trás dela ou quantas são as vítimas. Esta página será atualizada quando o aviso for revisado.
O que fazer hoje (se você usa o Server Edition)
Verifique a edição, a versão e o recurso de estatísticas
Verifique qual edição você usa (Apache, Nginx, IIS, ou FreeBSD Apache ou Nginx) e sua versão, e depois use a tabela abaixo para ver se você é afetado. Verifique também se o recurso de estatísticas está ativado. O fornecedor diz que ele vem ativado por padrão. Se você nunca o alterou, presuma que está ativado.
Baixe e guarde os dados de diagnóstico antes de atualizar
O fornecedor diz que aplicar a atualização ou o patch pode apagar vestígios de um ataque. Na tela de administração web, abra 診断情報 (Informações de diagnóstico) e execute 診断情報をダウンロード (Baixar informações de diagnóstico), conforme os nomes do aviso em japonês do fornecedor, e depois guarde uma cópia fora do servidor. Se você executa o produto em vários servidores, faça isso em cada um.
Atualize para a versão corrigida
A falha é corrigida na Ver8.00 Update5 para as edições Apache, Nginx e IIS (exceto FreeBSD), e na Ver7.00 Update6 para as edições FreeBSD Apache e Nginx.
Se não puder atualizar, aplique o patch
Para clientes que têm dificuldade em atualizar, o fornecedor oferece um patch que substitui o arquivo usado no processamento de estatísticas. Versões sem suporte são cobertas. Fale com seu contato de suporte (indicado no documento de confirmação do contrato ou pelo revendedor onde você comprou).
Se nenhuma das opções for possível agora, desative as estatísticas
O JPCERT/CC diz que desativar o recurso de estatísticas evita o problema. Consulte as informações mais recentes do fornecedor para saber os passos. Desativá-lo não substitui a aplicação da correção ou do patch (nossa recomendação).
Procure sinais de comprometimento
Não foi divulgado quando a exploração começou. Revise os dados de diagnóstico salvos e os logs do servidor em busca de processos, arquivos, contas ou conexões de saída que você não reconheça. Nosso guia sobre como verificar se seu site ou servidor foi invadido explica o passo a passo. Se algo parecer errado, entre em contato com o suporte do fornecedor ou com o JPCERT/CC.
Você é afetado? Referência rápida
| O que você usa | Afetado? (aviso do fornecedor) | Versão-alvo |
|---|---|---|
| Edições Apache, Nginx, IIS: Ver2.20 ou posterior, anterior à Ver8.00 Update5 | Sim, se as estatísticas estiverem ativadas | Ver8.00 Update5 |
| Edições FreeBSD Apache, Nginx: Ver2.20 ou posterior, anterior à Ver7.00 Update6 | Sim, se as estatísticas estiverem ativadas | Ver7.00 Update6 |
| Edição IIS: Ver3.10 até Ver4.00 Update4 | Não afetada | Não informada |
| Anterior à Ver2.20 | A faixa afetada é informada como Ver2.20 e posteriores | Não informada |
| Recurso de estatísticas desativado | Afetado somente quando as estatísticas estão ativadas | Aplicar a correção continua recomendado (nossa visão) |
| Versões sem suporte | Afetadas se estiverem dentro da faixa | Patch (cobre versões sem suporte) |
| SiteGuard Lite e outros produtos | Não mencionados pelo fornecedor, pelo JVN nem pelo JPCERT/CC | Consulte os avisos do seu provedor (por exemplo, seu provedor de hospedagem) |
Versões anteriores à Ver2.20 e versões sem suporte podem não ter outras correções além desta. Mesmo que você esteja fora da faixa desta falha, considere migrar para uma versão com suporte (nossa visão).
1. Edição
Apache, Nginx, IIS / FreeBSD
2. Versão
Ver2.20 ou posterior, anterior à correção
3. Estatísticas
Afetado se ativadas (ativadas por padrão)
O que foi divulgado (aviso do fornecedor)
- CVE
- CVE-2026-106931 (JVN#88474777)
- Tipo
- Injeção de comandos do SO (CWE-78) no recurso de estatísticas
- Gravidade
- CVSS v3.0 7,8; v4.0 8,5 (classificação do fornecedor). Vetor de ataque local, privilégios necessários baixos, sem interação do usuário
- Impacto
- Comandos arbitrários do SO podem ser executados com privilégios de root ou SYSTEM no servidor que executa o produto
- Afetados
- Ver2.20 e posteriores com estatísticas ativadas: edições Apache, Nginx e IIS anteriores à Ver8.00 Update5; edições FreeBSD Apache e Nginx anteriores à Ver7.00 Update6
- Não afetados
- Edição IIS da Ver3.10 até a Ver4.00 Update4
- Correção
- Atualizar para a versão corrigida, ou aplicar o patch que substitui o arquivo de processamento de estatísticas (versões sem suporte incluídas)
- Exploração
- O fornecedor diz que a exploração foi confirmada
- Aviso antecipado
- Clientes com contrato de suporte foram notificados individualmente em 29 de setembro de 2026
Segundo o JVN, o próprio fornecedor relatou o problema ao IPA, e o JPCERT/CC fez a coordenação. O JPCERT/CC diz ter confirmado que o produto é amplamente usado no Japão e pede que os usuários considerem investigar um possível comprometimento, além de aplicar as medidas de proteção.
A CISA incluiu a CVE-2026-106931 no KEV em 20 de outubro e definiu 23 de outubro como prazo para as agências federais dos EUA. O registro do KEV indica que ela exige triagem forense. O uso conhecido em campanhas de ransomware consta como "Unknown" (desconhecido).
Como interpretar a classificação "local, privilégio baixo"
A classificação CVSS do fornecedor tem vetor de ataque local (AV:L) e privilégios baixos necessários (PR:L). Isso não é a classificação de uma falha que qualquer pessoa possa explorar diretamente pela internet. Essa pontuação pressupõe algum acesso de baixo nível ao servidor (nossa leitura). A descrição do KEV da CISA diz apenas "an attacker" (um atacante) e não menciona essa condição.
Há condições, mas a exploração já está acontecendo
O fornecedor confirmou a exploração. Ele não disse como os atacantes obtiveram o acesso necessário. Recomendamos não despriorizar a falha por causa da classificação condicional.
Na visão deste site, uma falha desse tipo pode transformar um acesso comum, obtido por meio de outra falha em aplicação web ou de uma conta vazada, em controle administrativo de todo o servidor. Um WAF é instalado para proteger aplicações web; se o próprio WAF se torna um caminho para direitos de administrador, essa premissa deixa de valer.
Prática de risco
- Nunca verificar a versão do próprio WAF depois de instalá-lo
- Deixar as estatísticas ativadas por padrão sem saber se você as usa
- Atualizar imediatamente sem salvar nenhum vestígio
- Deixar sem revisão as contas gerais do servidor e as permissões das aplicações web
Prática que limita o dano
- Acompanhar o WAF no mesmo processo de atualização dos demais softwares
- Desativar os recursos que você não usa
- Salvar os dados de diagnóstico e os logs antes de atualizar e depois procurar vestígios
- Manter as contas do servidor e as permissões das aplicações web no mínimo necessário
Para saber como priorizar falhas listadas no KEV, veja como decidir o que corrigir primeiro com CVSS, EPSS e KEV. Classificar apenas pela pontuação CVSS pode empurrar para baixo na lista uma falha que já está sendo explorada.
Se você usa o SiteGuard Lite ou outro produto
O aviso do fornecedor, o JVN e o alerta do JPCERT/CC são todos escritos para o SiteGuard Server Edition. Nenhum deles menciona o SiteGuard Lite ou outros produtos. Este site não encontrou informação oficial que esclareça se o Lite é afetado.
Se você usa o WAF como recurso de um plano de hospedagem, o provedor normalmente cuida das atualizações do WAF. Consulte os avisos ou as páginas de suporte do seu provedor para saber como ele está tratando esta falha. Para saber o que os clientes devem fazer quando um provedor tem um problema, veja quando seu provedor de hospedagem web sofre uma invasão.
O que ainda não se sabe
| Item | Situação |
|---|---|
| Exploração ativa | Confirmada (fornecedor, CISA) |
| Quando a exploração começou, quem está por trás | Não informado |
| Número de organizações afetadas | Não informado |
| Código de exploração público | Não mencionado (aviso e KEV) |
| SiteGuard Lite e outros produtos | Não mencionados |
| Passos para desativar as estatísticas | Não constam no aviso do fornecedor (o JPCERT/CC remete às informações mais recentes do fornecedor) |
O número e os nomes das organizações no Japão que usam este produto não foram divulgados. Este site não cita nenhuma organização com base em suposições.
Fontes
- EG Secure Solutions, aviso sobre a vulnerabilidade de injeção de comandos do SO no SiteGuard Server Edition (em japonês, 14 de outubro de 2026) — eg-secure.co.jp
- JVN, "JVN#88474777: OS command injection vulnerability in SiteGuard Server Edition" (em japonês, 14 de outubro de 2026) — jvn.jp
- JPCERT/CC, alerta sobre a CVE-2026-106931 no SiteGuard Server Edition (JPCERT-AT-2026-0032, em japonês, 14 de outubro de 2026) — jpcert.or.jp
- CISA, Known Exploited Vulnerabilities Catalog (CVE-2026-106931) — cisa.gov
Histórico de atualizações
2026-10-24: Primeira versão, com base no aviso do fornecedor, no JVN, no alerta do JPCERT/CC e no catálogo KEV da CISA.
Leia a seguir
- Priorização de correções: Como decidir o que corrigir primeiro: CVSS, EPSS e KEV
- Verificação de comprometimento: Como verificar se seu site ou servidor foi invadido
- Se você usa hospedagem compartilhada: Quando seu provedor de hospedagem web sofre uma invasão
- Outra falha urgente do mesmo período: Vulnerabilidades do PHP CVE-2026-109618 e CVE-2026-109619
- Glossário: O que é um backdoor? / O que é CVSS?