Investigadores y autoridades de ciberseguridad han emitido una alerta sobre la explotación activa de una vulnerabilidad de inyección de comandos del sistema operativo en SiteGuard Server Edition, el cortafuegos de aplicaciones web (WAF) desarrollado por la empresa japonesa SiteGuard. El fallo, catalogado como CVE-2026-106931, permite a un atacante ejecutar comandos arbitrarios con los máximos privilegios: root en sistemas Unix o SYSTEM en Windows.
El problema afecta a la función de estadísticas de las instancias WAF basadas en host, que está habilitada de forma predeterminada. SiteGuard se posiciona como uno de los proveedores de WAF líderes en Japón y afirma proteger más de 1,5 millones de sitios web; de acuerdo con las estadísticas de WordPress.org, el producto está activo en 500.000 instalaciones.
Confirmación oficial y explotación en curso
El boletín del fabricante y la advertencia de la agencia CERT de Japón (JPCERT/CC) califican la vulnerabilidad como de gravedad crítica y confirman que ya está siendo aprovechada en ataques reales. El aviso de SiteGuard señala textualmente: «Se ha encontrado una vulnerabilidad de inyección de comandos del sistema operativo (CVE-2026-106931) en la función de estadísticas de SiteGuard Server Edition. Ya se ha confirmado su abuso».
Ni el fabricante ni la agencia japonesa han proporcionado detalles sobre la identidad de los atacantes, las víctimas, la escala de los ataques ni los métodos empleados.
Versiones afectadas
- SiteGuard Server Edition para Apache httpd, Nginx e IIS (excepto FreeBSD), versiones 2.20 y posteriores, anteriores a 8.00 Update 5.
- SiteGuard Server Edition para Apache httpd y Nginx sobre FreeBSD, versiones 2.20 y posteriores, anteriores a 7.00 Update 6.
La explotación solo es posible en esas versiones si la función de estadísticas está activa. Según JPCERT/CC, las ediciones para IIS desde la 3.10 hasta la 4.00 Update 4, ambas inclusive, no se ven afectadas.
Parche y recomendaciones forenses
Para las instalaciones que no puedan actualizarse, el proveedor ofrece un parche que sustituye los archivos utilizados en el procesamiento de estadísticas, incluido para versiones que ya han alcanzado el final de su ciclo de vida. SiteGuard advierte de que la remediación puede borrar las huellas de un ataque y recomienda a los administradores conservar las evidencias antes de actualizar o aplicar el parche.
Para ello, indica que se descargue y guarde la «información de diagnóstico» desde la interfaz de gestión web, siguiendo la ruta: pantalla de gestión web → información de diagnóstico → descargar información de diagnóstico. El fabricante también señaló que los clientes con contacto directo de soporte fueron notificados del fallo antes, el 29 de septiembre.
La alerta se produce en un contexto en el que las métricas globales de prevención pueden ocultar lo que sucede tras un acceso inicial: cuando los atacantes ya disponen de credenciales válidas, la capacidad de bloqueo cae drásticamente, hasta el punto de que solo se frena el 37 % de sus acciones, según datos del informe Blue Report 2026, basado en 338 millones de simulaciones en entornos de producción de clientes.
Deja una respuesta