Il 18 ottobre 2026, BleepingComputer tramite l'autore Bill Toulas, ha riportato una notizia di una vulnerabilità di tipo OS command-injection, che consente quindi l’esecuzione di comandi con privilegi root o SYSTEM, è stata scoperta nella funzione di statistiche del WAF host-based SiteGuard Server Edition, abilitata di default. Il vendor giapponese, fornitore di WAF che proteggono oltre 1,5 milioni di siti e 500.000 siti attivi secondo WordPress.org, ha classificato la vulnerabilità come critica, confermando che è tuttora sfruttata in attacchi in corso:
“An OS command injection vulnerability (CVE-2026-106931) has been found in the statistics function of SiteGuard Server Edition. Abuse has already been confirmed.”
Non sono stati chiariti chi siano gli attaccanti né le vittime. Le versioni vulnerabili sono:
- SiteGuard Server Edition for Apache httpd, Nginx, and IIS (excluding FreeBSD) versions 2.20 and later, prior to 8.00 Update 5
- SiteGuard Server Edition for Apache httpd and Nginx on FreeBSD versions 2.20 and later, prior to 7.00 Update 6
- IIS editions from 3.10 up to 4.00 Update 4 are not affected.
È stata rilasciata una patch che sostituisce file utilizzati nel processamento delle statistiche, applicabile anche a versioni non più supportate. Gli amministratori sono avvisati di conservare prove prima di aggiornamenti o patch. Il vendor fornisce istruzioni per preservare evidenze scaricando e mantenendo “Diagnostic information” dalla web management interface. La notifica ai clienti è stata comunicata il 29 settembre.
Un altro dato da evidenziare è contenuto nel Blue Report 2026, che misura le difese attraverso 338 milioni di simulazioni in ambienti di produzione dei clienti: solo il 37% delle azioni degli attaccanti è bloccato dopo che questi ultimi accedono con credenziali valide.