A EG Secure Solutions confirmou exploração da CVE-2026-106931 no SiteGuard Server Edition, firewall de aplicação instalado no próprio servidor protegido. A falha permite executar comandos do sistema como root no Unix e como SYSTEM no Windows.
O problema é uma injeção de comando na função de processamento de estatísticas, que vem habilitada por padrão. A classificação é CWE-78, e as notas são 8.5 na escala CVSS 4.0 e 7.8 na CVSS 3.0.
As duas notas descrevem ataque local, com privilégio baixo e sem interação do usuário. Não houve confirmação de exploração remota sem autenticação, e esse é o ponto que separa a gravidade publicada de um cenário de borda aberta.
Estão afetadas as versões a partir da 2.20, quando as estatísticas estão ligadas. As edições Apache, Nginx e IIS fora do FreeBSD sobem para a 8.00 Update 5. Instalações em FreeBSD com Apache ou Nginx vão para a 7.00 Update 6. As edições IIS da 3.10 até a 4.00 Update 4 não foram afetadas.
A fabricante avisou em 29 de setembro os clientes com contrato direto de suporte. O JVN, do Japão, publicou aviso em 14 de outubro, e o JPCERT/CC emitiu alerta. Nenhum dos dois identificou os invasores, as organizações atingidas, o volume de ataques ou o método exato.
Quem não pode atualizar consegue um patch que substitui os arquivos usados no processamento de estatísticas, oferecido também para versões cujo suporte terminou. A outra saída imediata é desligar a função de estatísticas.
Aplicar correção apaga rastro de ataque, e por isso a orientação é salvar o diagnóstico antes, pela opção de download em Informação de Diagnóstico na interface web. Um WAF instalado no próprio servidor roda com privilégio alto e fica na frente da aplicação, o que torna a conta do comprometimento diferente da de um plugin qualquer.
