Japon WAF ürünü SiteGuard Server Edition'daki açık saldırılarda kullanılıyor, CISA KEV listesine ekledi

SiteGuard Server Edition, Japon şirketi EG Secure Solutions’ın geliştirdiği, Apache httpd, Nginx ve IIS web sunucularına kurulan bir WAF (web uygulama güvenlik duvarı). Saldırıları web sunucusunun önünde durdurmak için kullanılıyor. Bu kez açık, korumak için kurulan ürünün kendisinde.

Açığın etkisi

CVE-2026-106931, ürünün istatistik özelliğindeki bir OS command injection (işletim sistemi komutu enjeksiyonu) açığı (CWE-78). JVN’ye göre açığı kullanan bir saldırgan, ürünün çalıştığı sistemde root ya da SYSTEM yetkisiyle istediği komutu çalıştırabiliyor.

Açığın CVSS 4.0 puanı 8.5, CVSS 3.0 puanı 7.8. Puan vektörüne göre saldırı yerel erişim ve düşük yetkili bir hesap gerektiriyor. Yani saldırganın sunucuya önce bir şekilde ulaşmış olması gerekiyor. Açık bu adımdan sonra, sınırlı bir erişimi sunucunun tam kontrolüne dönüştürüyor. JVN yine de açığın önem derecesini “kritik” olarak belirtiyor.

Ürün yalnızca istatistik özelliği açıkken etkileniyor. Ancak bu özellik varsayılan olarak açık geliyor.

Saldırılarda kullanılıyor

JVN, açığın saldırılarda kullanıldığının doğrulandığını belirtiyor ve konuyla ilgili JPCERT/CC uyarısına (JPCERT-AT-2026-0032) atıf yapıyor. Saldırıların kim tarafından ve nasıl yapıldığına dair ayrıntı yayımlanmadı. CISA, açığı 20 Ekim’de KEV listesine ekledi. ABD federal kurumlarına 23 Ekim’e kadar süre verdi ve bu açık için ayrıca adli inceleme (forensic triage) yapılmasını zorunlu tuttu. Yani CISA, yalnızca yama yapılmasını değil, sistemin daha önce ele geçirilip geçirilmediğinin de kontrol edilmesini istiyor.

JVN’ye göre geliştirici, doğrudan destek sözleşmesi olan müşterilerini 29 Eylül’de bilgilendirdi. Açık 14 Ekim’de kamuya duyuruldu. Açığı IPA’ya bildiren de geliştiricinin kendisi.

Etkilenen sürümler

Önerilen önlemler

• SiteGuard Server Edition’ı tablodaki düzeltilmiş sürüme yükseltin.
• Hemen yükseltemiyorsanız, geliştiricinin istatistik işlemede kullanılan dosyaları değiştiren yamasını uygulayın. JVN’ye göre bu yama desteği bitmiş (EOL) sürümler için de sunuluyor.
• Açık saldırılarda kullanıldığı ve sunucuda tam yetki verdiği için, yamadan önce sistemin ele geçirilmiş olabileceğini göz önünde bulundurun. CISA’nın adli inceleme şartı da bu yüzden.