SiteGuard WAF'taki açık, saldırganlara root ve SYSTEM yetkisiyle komut çalıştırtıyor

Japon EG Secure Solutions'ın geliştirdiği, sunucu üzerinde çalışan web uygulaması güvenlik duvarı (WAF) SiteGuard Server Edition'daki bir komut enjeksiyonu açığı, saldırganlar tarafından root veya SYSTEM yetkisiyle komut çalıştırmak için kullanılıyor. BleepingComputer'ın aktardığına göre hem üretici hem de Japonya'nın bilgisayar olaylarına müdahale ekibi JPCERT/CC, CVE-2026-106931 olarak izlenen açığın gerçek saldırılarda istismar edildiği konusunda uyarı yayımladı. Web sunucularını korumak için kurulan bir güvenlik ürününün, sunucunun tamamen ele geçirilmesine giden bir kapıya dönüşmesi açığı özellikle önemli kılıyor.

Neler oldu?

Daily CyberSecurity'nin haberine göre JPCERT/CC, 14 Ekim 2026'da yaptığı uyarıda açığın istismar edildiğinin doğrulandığını bildirdi. BleepingComputer, üreticinin uyarısının alert-202610-1, JPCERT/CC'nin duyurusunun ise JVN88474777 numarasıyla yayımlandığını aktarıyor.

Açıklama aşamalı yapıldı. Daily CyberSecurity'ye göre EG Secure Solutions, doğrudan destek sözleşmesi bulunan müşterilerini 29 Eylül 2026'da bilgilendirdi; kamuya açık duyurular ise yaklaşık iki hafta sonra geldi. Yayın, bu nedenle bazı sunucuların yöneticilerin çoğu açıktan haberdar olmadan önce ele geçirilmiş olabileceğine dikkat çekiyor.

Her iki yayının aktardığına göre ne üretici ne de JPCERT/CC saldırıların arkasında kimin olduğunu, kaç sunucunun etkilendiğini veya saldırganların erişim sonrasında ne yaptığını açıkladı. BleepingComputer, SiteGuard'ın 1,5 milyondan fazla web sitesini koruduğunu öne sürdüğünü belirtiyor.

Teknik detaylar

Açık, SiteGuard Server Edition'ın varsayılan olarak etkin gelen istatistik işlevinde bulunuyor. Daily CyberSecurity'nin aktardığına göre CVSS v4 ölçeğinde 8,5 puan alan açık, düşük yetkili yerel erişime sahip bir saldırganın işletim sistemi komutları enjekte etmesine ve bunları root ya da SYSTEM yetkisiyle çalıştırmasına olanak tanıyor. İstismar için istatistik işlevinin açık olması gerekiyor.

BleepingComputer'a göre etkilenen ürünler şunlar:

• Apache httpd, Nginx ve IIS için SiteGuard Server Edition (FreeBSD hariç): 2.20 ve sonrası, 8.00 Update 5 öncesi sürümler
• FreeBSD üzerinde Apache httpd ve Nginx için SiteGuard Server Edition: 2.20 ve sonrası, 7.00 Update 6 öncesi sürümler

JPCERT/CC'ye göre IIS sürümlerinden 3.10 ile 4.00 Update 4 arası etkilenmiyor. Daily CyberSecurity, haberin yazıldığı sırada kamuya açık bir kavram kanıtı (PoC) istismar kodu tespit edilmediğini ve açığın henüz CISA'nın Bilinen İstismar Edilen Açıklar (KEV) kataloğunda yer almadığını belirtiyor.

Kimler etkileniyor?

Apache httpd, Nginx veya IIS sunucularında, istatistik özelliği varsayılan ayarında açık olan SiteGuard Server Edition kullanan kurumlar risk altında. Ürün ağırlıklı olarak Japonya'da kullanıldığından en çok Japon barındırma sağlayıcıları ve şirketlerin etkilenmesi bekleniyor; ancak etkilenen sürümü çalıştıran her kurulum savunmasız kabul edilmeli.

Ne yapmalı?

• Güncellemeden önce kanıtları koruyun. Üretici, düzeltme işleminin saldırı izlerini silebileceği uyarısında bulunuyor ve web yönetim arayüzünden tanılama bilgilerinin indirilip saklanmasını öneriyor (Web yönetim ekranı > Tanılama bilgisi > Tanılama bilgisini indir).
• SiteGuard Server Edition'ı 8.00 Update 5 sürümüne, FreeBSD üzerindeki Apache ve Nginx kurulumlarında ise 7.00 Update 6 sürümüne yükseltin.
• Yükseltme mümkün değilse (desteği sona ermiş sürümler dahil), üreticinin istatistik işlemede kullanılan dosyaları değiştiren yamasını uygulayın.
• İstismar kamuya açıklanmadan önce başladığı için yamalı sunucuyu temiz varsaymayın; beklenmeyen süreçler, yeni hesaplar veya tanımadığınız zamanlanmış görevler gibi ele geçirilme belirtilerini inceleyin.