Для кого эта страница: для администраторов, которые используют SiteGuard Server Edition — японский WAF уровня хоста (межсетевой экран веб-приложений: программа, встроенная в веб-сервер и блокирующая атаки на веб-приложения) — на собственных серверах или VPS. Страница основана на уведомлении производителя, JVN, JPCERT/CC и открытых данных CISA. Здесь не описывается, как работают атаки.
Ситуация развивается: страница будет обновляться по мере появления новых данных
По состоянию на 11:00 UTC, 24 октября 2026 годаПока неизвестно
- Когда началась эксплуатация и кто за ней стоит
- Сколько организаций затронуто
- Затронуты ли SiteGuard Lite и другие продукты, кроме Server Edition
- Как отключить функцию статистики (в уведомлении производителя не описано)
Производитель опубликовал уведомление 14 октября, JVN и JPCERT/CC опубликовали свои записи в тот же день. CISA добавила уязвимость в KEV 20 октября. Ни один из источников не сообщает, когда началась эксплуатация, кто за ней стоит и сколько пострадавших. Страница будет обновлена при пересмотре уведомления.
Что сделать сегодня (если вы используете Server Edition)
Проверьте выпуск, версию и функцию статистики
Определите, какой выпуск вы используете (Apache, Nginx, IIS или FreeBSD Apache либо Nginx) и его версию, затем по таблице ниже выясните, затронуты ли вы. Также проверьте, включена ли функция статистики. Производитель сообщает, что по умолчанию она включена. Если вы её не меняли, считайте, что она включена.
Скачайте и сохраните диагностические данные до обновления
Производитель сообщает, что установка обновления или патча может стереть следы атаки. В веб-интерфейсе администратора откройте 診断情報 (Diagnostic information) и выполните 診断情報をダウンロード (Download diagnostic information) — так эти пункты названы в японском уведомлении производителя, — затем сохраните копию вне сервера. Если продукт работает на нескольких серверах, сделайте это на каждом.
Обновитесь до исправленной версии
Уязвимость исправлена в Ver8.00 Update5 для выпусков Apache, Nginx и IIS (кроме FreeBSD) и в Ver7.00 Update6 для выпусков FreeBSD Apache и Nginx.
Если обновиться нельзя, установите патч
Для клиентов, которым трудно обновиться, производитель предоставляет патч, заменяющий файл, используемый для обработки статистики. Версии, снятые с поддержки, охвачены. Обратитесь в свою службу поддержки (она указана в документе подтверждения договора или у реселлера, у которого вы покупали продукт).
Если ничего из этого сразу сделать нельзя, отключите статистику
JPCERT/CC сообщает, что отключение функции статистики позволяет избежать проблемы. Порядок действий смотрите в актуальной информации производителя. Отключение не заменяет установку исправления или патча (наша рекомендация).
Проверьте признаки компрометации
Когда началась эксплуатация, не опубликовано. Изучите сохранённые диагностические данные и журналы сервера на предмет незнакомых процессов, файлов, учётных записей или исходящих соединений. Наше руководство как проверить, взломан ли ваш сайт или сервер описывает этот порядок. Если что-то выглядит подозрительно, обратитесь в службу поддержки производителя или в JPCERT/CC.
Затронуты ли вы? Краткая справка
| Что вы используете | Затронуто? (уведомление производителя) | Целевая версия |
|---|---|---|
| Выпуски Apache, Nginx, IIS: Ver2.20 или новее, до Ver8.00 Update5 | Да, если статистика включена | Ver8.00 Update5 |
| Выпуски FreeBSD Apache, Nginx: Ver2.20 или новее, до Ver7.00 Update6 | Да, если статистика включена | Ver7.00 Update6 |
| Выпуск IIS: с Ver3.10 по Ver4.00 Update4 | Не затронут | Не указана |
| До Ver2.20 | Затронутый диапазон указан как Ver2.20 и новее | Не указана |
| Функция статистики отключена | Затронуты только при включённой статистике | Установка исправления всё равно рекомендуется (наше мнение) |
| Версии, снятые с поддержки | Затронуты, если входят в диапазон | Патч (охватывает версии, снятые с поддержки) |
| SiteGuard Lite и другие продукты | Не упоминаются производителем, JVN и JPCERT/CC | Проверьте уведомления своего провайдера (например, хостинг-провайдера) |
В версиях до Ver2.20 и в версиях, снятых с поддержки, могут отсутствовать и другие исправления, помимо этого. Даже если вы не входите в диапазон этой уязвимости, рассмотрите переход на поддерживаемую версию (наше мнение).
1. Выпуск
Apache, Nginx, IIS / FreeBSD
2. Версия
Ver2.20 или новее, до исправленной
3. Статистика
Затронуты, если включена (по умолчанию включена)
Что раскрыто (уведомление производителя)
- CVE
- CVE-2026-106931 (JVN#88474777)
- Тип
- Внедрение команд ОС (CWE-78) в функции статистики
- Серьёзность
- CVSS v3.0 7.8, v4.0 8.5 (оценка производителя). Вектор атаки локальный, требуемые привилегии низкие, взаимодействие с пользователем не требуется
- Последствия
- Произвольные команды ОС могут выполняться с правами root или SYSTEM на сервере, где работает продукт
- Затронуты
- Ver2.20 и новее с включённой статистикой: выпуски Apache, Nginx и IIS до Ver8.00 Update5; выпуски FreeBSD Apache и Nginx до Ver7.00 Update6
- Не затронуты
- Выпуск IIS с Ver3.10 по Ver4.00 Update4
- Исправление
- Обновление до исправленной версии или установка патча, заменяющего файл обработки статистики (включая версии, снятые с поддержки)
- Эксплуатация
- Производитель сообщает, что эксплуатация подтверждена
- Предварительное уведомление
- Клиентов с договорами поддержки уведомили индивидуально 29 сентября 2026 года
По данным JVN, о проблеме в IPA сообщил сам производитель, а координацию выполнял JPCERT/CC. JPCERT/CC сообщает, что подтвердил широкое использование продукта в Японии, и просит пользователей, помимо применения мер защиты, рассмотреть проверку на компрометацию.
CISA добавила CVE-2026-106931 в KEV 20 октября и установила 23 октября как срок для федеральных агентств США. В записи KEV отмечено, что требуется судебно-технический первичный анализ. Использование в известных кампаниях с программами-вымогателями указано как «Unknown» (неизвестно).
Как понимать оценку «локальный вектор, низкие привилегии»
В оценке CVSS производителя вектор атаки локальный (AV:L), требуемые привилегии низкие (PR:L). Это не оценка уязвимости, которую кто угодно может использовать напрямую из интернета. Эта оценка предполагает наличие какого-то доступа низкого уровня на сервере (наше толкование). В описании KEV от CISA сказано просто «злоумышленник», и это условие не упоминается.
Условия есть, но эксплуатация уже идёт
Производитель подтвердил эксплуатацию. Он не сообщал, как злоумышленники получили необходимый доступ. Мы рекомендуем не снижать приоритет из-за условной оценки.
По мнению этого сайта, уязвимость такого рода может превратить обычный доступ, полученный через другую ошибку веб-приложения или утёкшую учётную запись, в административный контроль над всем сервером. WAF устанавливают для защиты веб-приложений; если сам WAF становится путём к правам администратора, это допущение перестаёт работать.
Рискованная практика
- Никогда не проверять версию самого WAF после установки
- Оставлять статистику включённой по умолчанию, не зная, используется ли она
- Обновляться сразу, не сохранив никаких следов
- Не пересматривать учётные записи сервера и права веб-приложений
Практика, ограничивающая ущерб
- Отслеживать WAF в том же процессе обновлений, что и другое ПО
- Отключать неиспользуемые функции
- Сохранять диагностические данные и журналы перед обновлением, затем искать следы
- Сводить учётные записи сервера и права веб-приложений к минимуму
О том, как расставлять приоритеты для уязвимостей из KEV, см. как решить, что исправлять первым, с помощью CVSS, EPSS и KEV. Ранжирование только по оценке CVSS может опустить эксплуатируемую уязвимость вниз списка.
Если вы используете SiteGuard Lite или другой продукт
Уведомление производителя, JVN и предупреждение JPCERT/CC написаны о SiteGuard Server Edition. Ни один из них не упоминает SiteGuard Lite или другие продукты. Этот сайт не нашёл официальной информации, которая однозначно говорила бы, затронут ли Lite.
Если вы используете WAF как функцию тарифа хостинга, обновлениями WAF обычно занимается провайдер. Проверьте уведомления или страницы поддержки своего провайдера, чтобы узнать, как он поступает с этой уязвимостью. О том, что делать клиентам при проблеме у провайдера, см. когда взломан ваш веб-хостинг-провайдер.
Что пока неизвестно
| Пункт | Статус |
|---|---|
| Активная эксплуатация | Подтверждена (производитель, CISA) |
| Когда началась эксплуатация, кто за ней стоит | Не указано |
| Число затронутых организаций | Не указано |
| Публичный эксплойт | Не упоминается (уведомление и KEV) |
| SiteGuard Lite и другие продукты | Не упоминаются |
| Порядок отключения статистики | Нет в уведомлении производителя (JPCERT/CC отсылает к актуальной информации производителя) |
Число и названия организаций в Японии, использующих этот продукт, не опубликованы. Этот сайт не называет организации на основании догадок.
Источники
- EG Secure Solutions, уведомление об уязвимости внедрения команд ОС в SiteGuard Server Edition (на японском, 14 октября 2026 года) — eg-secure.co.jp
- JVN, «JVN#88474777: уязвимость внедрения команд ОС в SiteGuard Server Edition» (на японском, 14 октября 2026 года) — jvn.jp
- JPCERT/CC, предупреждение о CVE-2026-106931 в SiteGuard Server Edition (JPCERT-AT-2026-0032, на японском, 14 октября 2026 года) — jpcert.or.jp
- CISA, каталог известных эксплуатируемых уязвимостей (CVE-2026-106931) — cisa.gov
История обновлений
2026-10-24: первая версия на основе уведомления производителя, JVN, предупреждения JPCERT/CC и каталога KEV от CISA.
Читайте дальше
- Расстановка приоритетов: Как решить, что исправлять первым: CVSS, EPSS и KEV
- Проверка на компрометацию: Как проверить, взломан ли ваш сайт или сервер
- Если вы используете виртуальный хостинг: Когда взломан ваш веб-хостинг-провайдер
- Другая срочная уязвимость того же периода: Уязвимости PHP CVE-2026-109618 и CVE-2026-109619
- Глоссарий: Что такое бэкдор? / Что такое CVSS?