C'è un momento, nella vita di ogni infrastruttura digitale, in cui la fiducia riposta in uno strumento di protezione si rovescia in vulnerabilità. Chi custodisce i server protetti dal firewall giapponese SiteGuard si trova oggi davanti a questa soglia: una falla già sfruttata da attaccanti permette di eseguire comandi con i massimi privilegi di sistema. La prudenza suggerisce un gesto prima di ogni correzione, cioè conservare le tracce di ciò che potrebbe già essere accaduto, perché aggiornare senza memoria significa cancellare anche la possibilità di capire.
SiteGuard Server Edition: falla critica già sfruttata per ottenere privilegi root
Gli interventi di correzione potrebbero cancellare le tracce degli attacchi
Mark
Partiamo dalla cosa più semplice: perché questa falla preoccupa tanto?
Mimi
Perché è già sfruttata davvero, non è un rischio teorico. E consente di eseguire comandi con privilegi di root o SYSTEM, cioè il massimo controllo sul server.
Mark
E la funzione coinvolta è difficile da incontrare?
Mimi
No, la funzione delle statistiche è attiva di default. Chi non ha cambiato nulla potrebbe essere esposto.
Luke
Va detto però cosa sappiamo e cosa no. Che gli attacchi siano in corso lo confermano il produttore e JPCERT/CC. Chi attacca, chi colpisce e con quali tecniche, invece, non è spiegato in nessuno dei due avvisi.
Mark
I numeri sui siti protetti dicono qualcosa sull'impatto?
Mimi
Mostrano la dimensione del prodotto: oltre 1,5 milioni di siti dichiarati, circa 500.000 su WordPress.
Luke
Attenzione, sono cifre dichiarate dall'azienda e descrivono la base installata, non i server vulnerabili o compromessi. Quel dato non c'è.
Mark
Cosa devono fare gli amministratori?
Mimi
Prima di aggiornare, scaricare le informazioni diagnostiche dall'interfaccia web. Il produttore avverte che la correzione potrebbe cancellare le tracce degli attacchi.
Luke
E la patch esiste anche per le versioni fuori supporto, il che aiuta chi non può migrare. Resta il fatto che i clienti con contatto diretto sapevano dal 29 settembre; gli altri, non è chiaro quando.
Il Polso
- Una falla critica di OS command injection, catalogata come CVE 2026 106931, è già sfruttata in attacchi reali contro server che usano SiteGuard.
- Il difetto si annida nella funzione delle statistiche, attiva di default, e apre la strada a comandi root o SYSTEM sulle macchine colpite.
- Sono coinvolte le versioni dalla 2.20 fino alla 8.00 Update 5 per Apache, Nginx e IIS, con estensioni a FreeBSD fino alla 7.00 Update 6.
- Gli amministratori corrono contro il tempo: prima di aggiornare o applicare la patch devono scaricare le informazioni diagnostiche, perché la correzione potrebbe cancellare le tracce delle intrusioni.
C'è un momento, nella vita di ogni infrastruttura digitale, in cui la fiducia riposta in uno strumento di protezione si rovescia in vulnerabilità. Chi custodisce i server protetti dal firewall giapponese SiteGuard si trova oggi davanti a questa soglia: una falla già sfruttata da attaccanti permette di eseguire comandi con i massimi privilegi di sistema. La prudenza suggerisce un gesto prima di ogni correzione, cioè conservare le tracce di ciò che potrebbe già essere accaduto, perché aggiornare senza memoria significa cancellare anche la possibilità di capire.
Chi amministra un server protetto da SiteGuard Server Edition ha oggi un motivo concreto per aprire l'interfaccia di gestione prima di qualsiasi aggiornamento. Il web application firewall, sviluppato in Giappone, contiene una vulnerabilità di OS command injection che gli attaccanti stanno già usando per far girare comandi con privilegi di root o SYSTEM.
La falla, catalogata come CVE 2026 106931, riguarda la funzione delle statistiche presente nelle installazioni sul server. È attiva di default, quindi molte macchine potrebbero essere esposte senza che nessuno abbia mai toccato le impostazioni. Il produttore e JPCERT/CC la classificano come critica e confermano attacchi reali, ma non è ancora chiaro chi ci sia dietro, quali siano le vittime o quanto siano estese le campagne.
Le versioni coinvolte vanno dalla 2.20 alla 8.00 Update 5 per Apache, Nginx e IIS, con le edizioni FreeBSD fino alla 7.00 Update 6. Le installazioni IIS tra la 3.10 e la 4.00 Update 4 risultano escluse. Per chi non può aggiornare subito esiste una patch che sostituisce i file coinvolti, disponibile anche per le versioni fuori supporto.
Il produttore avverte però che la correzione potrebbe cancellare le tracce dell'attacco. La raccomandazione è semplice: dalla gestione web, scaricare e archiviare le informazioni diagnostiche, e solo dopo aggiornare. Così resta materiale per capire se e come il server sia stato compromesso.
Chi amministra un server protetto da SiteGuard Server Edition ha oggi una ragione concreta per aprire l'interfaccia di gestione prima di qualsiasi aggiornamento. Il web application firewall sviluppato in Giappone contiene una vulnerabilità che gli attaccanti stanno già sfruttando per eseguire comandi con privilegi di root o SYSTEM sulle macchine colpite.
Il difetto è di tipo OS command injection: permette di far girare comandi direttamente sul sistema operativo che ospita il servizio. È stato catalogato come CVE 2026 106931 e riguarda la funzione delle statistiche presente nelle istanze del firewall installate direttamente sul server. Quella funzione è attiva di default, quindi molte installazioni potrebbero essere esposte anche se nessuno ha mai toccato le impostazioni originali.
La platea potenzialmente coinvolta è ampia. SiteGuard è uno dei principali fornitori giapponesi di WAF e dichiara di proteggere più di 1,5 milioni di siti web. Nel solo ecosistema WordPress il prodotto risulta attivo su circa 500.000 siti. Sia il bollettino del produttore sia l'avviso dell'agenzia giapponese JPCERT/CC classificano la falla come critica e confermano che è già sfruttata in attacchi reali.
Mancano però molti elementi. Nessuno dei due documenti chiarisce chi ci sia dietro gli attacchi, quali siano le vittime, quanto siano estese le campagne e con quali tecniche la vulnerabilità venga usata.
Secondo il produttore, la falla interessa SiteGuard Server Edition per Apache httpd, Nginx e IIS, escluso FreeBSD, dalla versione 2.20 fino a quelle precedenti alla 8.00 Update 5. Sono vulnerabili anche le edizioni per Apache httpd e Nginx su FreeBSD, dalla 2.20 fino a quelle precedenti alla 7.00 Update 6. In tutti questi casi l'attacco riesce solo se la funzione delle statistiche è attiva. JPCERT/CC precisa che le edizioni per IIS comprese tra la 3.10 e la 4.00 Update 4 non sono coinvolte.
Per chi non può aggiornare subito, l'azienda mette a disposizione una patch che sostituisce i file usati nell'elaborazione delle statistiche. La correzione è disponibile anche per le versioni arrivate a fine supporto, una scelta utile a chi gestisce installazioni datate e difficili da migrare.
C'è però un avvertimento da non trascurare. Il produttore segnala che gli interventi di correzione potrebbero cancellare le tracce degli attacchi, e raccomanda agli amministratori di conservare le prove prima di aggiornare o applicare la patch. La procedura prevede di scaricare e archiviare le informazioni diagnostiche dall'interfaccia di gestione web: dalla schermata di gestione si passa alla sezione delle informazioni diagnostiche e si sceglie l'opzione di download. Così resta materiale per capire se e come il server sia stato compromesso.
L'azienda ha infine spiegato che i clienti con un contatto di assistenza diretto erano stati avvisati in anticipo, il 29 settembre. Per tutti gli altri, il passo da fare è lo stesso: prima salvare i dati diagnostici, poi correggere.
Citazioni salienti
Gli interventi di correzione potrebbero cancellare le tracce degli attacchi: conservare le prove prima di aggiornare o applicare la patch.— Produttore di SiteGuard, avviso di sicurezza
Vuoi la storia completa?
Leggi l'originale su TecnoAndroid ↗
World & Diplomacy