EG Secure SiteGuard Server Edition: OS-Command-Injection

Zusammenfassung

SiteGuard Server Edition, eine hostbasierte Web Application Firewall, die innerhalb von Apache httpd, Nginx oder IIS läuft, enthält im Statistikmodul eine OS-Command-Injection-Schwachstelle. Ein Angreifer mit lokalem Zugriff und niedrigen Rechten kann auf dem Server beliebige Betriebssystembefehle mit root- bzw. SYSTEM-Rechten ausführen. Das Statistikmodul ist standardmässig aktiviert, daher sind Standardinstallationen betroffen; Hersteller und CISA bestätigen eine aktive Ausnutzung.

Betroffen

• SiteGuard Server Edition Ver2.20 und neuer für Apache httpd, Nginx und IIS vor Ver8.00 Update 5
• SiteGuard Server Edition Ver2.20 und neuer für Apache httpd und Nginx unter FreeBSD vor Ver7.00 Update 6
• Nur wenn das Statistikmodul aktiviert ist (standardmässig aktiviert)
• IIS Ver3.10 bis Ver4.00 Update 4 sind nicht betroffen

Behoben in

• Apache httpd, Nginx und IIS: Ver8.00 Update 5
• Apache httpd und Nginx unter FreeBSD: Ver7.00 Update 6

Umgehung

• Patch für Installationen, die nicht aktualisiert werden können: Der Hersteller stellt einen Patch bereit, der die für die Statistikverarbeitung verwendeten Dateien ersetzt, auch für Versionen am Ende des Supports
• Das Deaktivieren des Statistikmoduls kann das Risiko verringern; bestätigen Sie dies beim Hersteller, bevor Sie sich darauf verlassen

Ausnutzung

• Wird in freier Wildbahn ausgenutzt, wie vom Hersteller und von JVN bestätigt
• In den Known Exploited Vulnerabilities Catalog der CISA aufgenommen (Eintrag am 2026-10-20)
• Öffentlicher Proof of Concept: Unbekannt.

Unsere Empfehlung

• Prüfen Sie, ob SiteGuard Server Edition installiert ist, auch bei Hosting-Providern oder Agenturen, und dokumentieren Sie Version und Einstellung des Statistikmoduls
• Sichern Sie diagnostische Logs vor dem Patchen, da die Behebung Angriffsspuren löschen kann
• Aktualisieren Sie umgehend auf die korrigierten Versionen oder wenden Sie den Hersteller-Patch an
• Prüfen Sie die Logs ab Ende September 2026 auf Shells oder Download-Tools, die vom WAF- oder Webserver-Prozess gestartet wurden

Öffentliche Exploits iAngriffscode ist öffentlich verfügbar (PoC auf GitHub, Metasploit oder Exploit-DB).

In PoC-in-GitHub, Metasploit und Exploit-DB ist für diese CVE nichts verzeichnet.

Quellen der Recherche

• JVN#88474777: SiteGuard Server Edition vulnerable to OS command injection jvn.jp
• EG Secure Solutions: SiteGuard Server Edition OS command injection alert (Japanese) www.eg-secure.co.jp
• CISA Known Exploited Vulnerabilities Catalog: CVE-2026-106931 www.cisa.gov

Recherchiert und auf Deutsch und Englisch aufbereitet von einer KI (Claude von Anthropic) auf Basis von NVD, CISA, EPSS und den genannten Quellen. Massgebend sind die Angaben des Herstellers. Recherche vom 30.10.2026 13:42.