Cibercriminosos exploram falha no WAF SiteGuard
A EG Secure Solutions confirmou ataques que exploram a vulnerabilidade CVE-2026-106931 no SiteGuard Server Edition, um firewall de aplicação web instalado diretamente no servidor que protege. A falha pode permitir a execução de comandos com privilégios máximos: como root em sistemas Unix e como SYSTEM no Windows.
O problema está no processamento de estatísticas do produto, recurso que vem ativado por padrão. Uma entrada manipulada pode ser interpretada como comando do sistema operacional, característica conhecida como injeção de comandos e classificada como CWE-78. A vulnerabilidade recebeu nota 8,5 no CVSS 4.0 e 7,8 no CVSS 3.0.
As avaliações indicam um cenário de ataque local, sem necessidade de interação da vítima e com exigência de privilégios baixos. Até o momento, não foi confirmada a exploração remota sem autenticação. Essa distinção é importante: embora a falha tenha potencial para comprometer o servidor, os dados disponíveis não demonstram que qualquer pessoa na internet possa explorá-la diretamente em uma instalação exposta.
Estão potencialmente vulneráveis as versões 2.20 ou posteriores quando a função de estatísticas está habilitada. A correção depende da edição e do sistema utilizado. Para as versões Apache, Nginx e IIS que não rodam em FreeBSD, a atualização indicada é a 8.00 Update 5. Instalações em FreeBSD com Apache ou Nginx devem avançar para a 7.00 Update 6.
As edições IIS entre a versão 3.10 e a 4.00 Update 4 não foram afetadas, segundo as informações divulgadas. Administradores devem confirmar tanto a versão instalada quanto a configuração do recurso de estatísticas, evitando presumir que todos os ambientes SiteGuard estejam expostos da mesma forma.
A fabricante informou sobre o problema em 29 de setembro aos clientes com contrato direto de suporte. Em 14 de outubro, o JVN publicou um aviso, seguido por um alerta do JPCERT/CC. Os comunicados não identificaram os responsáveis pelos ataques, as empresas atingidas, a quantidade de incidentes nem a técnica específica usada para explorar a falha.
A recomendação principal é instalar a atualização adequada ao sistema e à edição do SiteGuard. Organizações que não possam atualizar imediatamente podem solicitar o patch que substitui os arquivos envolvidos no processamento das estatísticas. A correção também foi disponibilizada para algumas versões que já não contam com suporte. Como medida temporária, é possível desativar a função de estatísticas.
Antes de aplicar qualquer correção, porém, é importante preservar informações que possam ajudar a investigar uma invasão. A orientação da fabricante é baixar o diagnóstico pela opção “Informação de Diagnóstico” na interface web. A atualização pode apagar rastros úteis, dificultando a reconstrução da atividade ocorrida no servidor.
Depois de salvar os dados, a equipe de segurança deve verificar registros de acesso, alterações recentes e processos incomuns, além de avaliar se houve execução de comandos com privilégios elevados. Se houver indícios de comprometimento, a simples instalação do patch pode não ser suficiente: será necessário investigar o ambiente, identificar possíveis alterações feitas pelo invasor e revisar credenciais e permissões.
O fato de o SiteGuard operar no próprio servidor também merece atenção. Diferentemente de um componente isolado com permissões restritas, um WAF local pode funcionar com privilégios elevados e ocupar uma posição central no tráfego da aplicação. Caso seja comprometido, o impacto pode ultrapassar a interrupção do filtro e alcançar o sistema operacional e os serviços hospedados.
Para reduzir riscos enquanto a atualização não é concluída, as empresas devem restringir o acesso administrativo ao servidor, limitar contas com privilégios e acompanhar alertas de comportamento anormal. Também é recomendável confirmar que a função de estatísticas foi realmente desativada quando essa alternativa for adotada; uma medida temporária mal aplicada pode deixar a instalação exposta.
O incidente reforça a importância de manter inventário atualizado de versões e configurações, inclusive em ferramentas de segurança. WAFs ajudam a proteger aplicações, mas também precisam ser tratados como componentes críticos: devem receber correções rapidamente, ter seus acessos controlados e ser incluídos nos procedimentos de resposta a incidentes.