İstismar edilen SiteGuard açığı CVE-2026-106931 işletim sistemi komut çalıştırmaya izin veriyor, bu nedenle tespit host'a kayıyor

Açık neyden ibaret

CVE-2026-106931, EG Secure Solutions'ın host tabanlı web uygulama güvenlik duvarı (WAF) olan SiteGuard Server Edition'ın istatistik özelliğindeki bir işletim sistemi komut enjeksiyonu zafiyetidir (CWE-78). Japon zafiyet bildirimi JVN#88474777 ve satıcının güvenlik uyarısına göre sorun CVSS 4.0 altında 8.5, CVSS 3.0 altında ise 7.8 puanla değerlendirilmiş olup her iki metrik de yalnızca düşük ayrıcalık gerektiren yerel bir saldırı vektörünü tanımlıyor. Her iki bildiri de zafiyetin zaten istismar edildiğini belirtiyor ve Security Affairs söz konusu teyidi haberleştirdi.\n Bildiriler üzerine yapılan bir dev.to analizi, sonucun pratikte ne anlama geldiğine dikkat çekiyor: web yığınının ayrıcalıklarıyla komut çalıştırma, Linux hostlarda root, IIS üzerinde ise SYSTEM. Yantıtı şekillendirmesi gereken detay, yama prosedürü değil, tam olarak budur.

WAF'ın kendi kayıtlarının neden yanlış bakılacak yer olduğu

Host tabanlı bir WAF trafiği kaydeder. SiteGuard'ın kayıtları korunan siteye ulaşan istekleri anlatır, enjeksiyon başarıya ulaştıktan sonra bir shell'in işletim sisteminde ne yaptığını değil. Yalnızca ürünün panellerini izleyen bir ekip bu tür hatalara dair hiçbir sinyale sahip değildir ve bildiri, herhangi bir kısayol sunmadığından, ihlal göstergesi (IoC) yayınlamamaktadır.

Yerel çalıştırmanın tipik olarak yüzeye çıktığı yerler süreç muhasebesi, denetim çerçeveleri ve komut geçmişidir; ayrıntılar platforma göre değişir. Linux sistemleri süreç çalıştırmasını auditd kuralları aracılığıyla, Windows hostlar süreç oluşturma olayları ve dağıtılmışsa Sysmon aracılığıyla, container iş yükleri ise runtime düzeyinde günlük kaydıyla kaydedebilir. İkinci bir yararlı sınır WAF ile host'u arasında yer alır: web sunucusu veya SiteGuard servisi tarafından başlatılan, özellikle yalnızca istek servis etmesi gereken bir hesap altında çalışan child process'ler makul bir başlangıç filtresidir. Ön kabul, yayımlanmış bir imza değil, hata sınıfının kendisidir.

Hangi kurulumlar kapsamda

Kapsam, kurulu sürüme ve yapılandırmaya bağlıdır. Bildirilere göre istatistik özelliği etkinleştirildiğinde Ver2.20 ve sonrası etkilenmektedir ve bu özellik varsayılan olarak açıktır. Düzeltilmiş sürümler Apache, Nginx ve IIS için 8.00 Update 5, FreeBSD üzerinde Apache ve Nginx için 7.00 Update 6'dır; IIS sürümlerinden Ver3.10 ile Ver4.00 Update 4 arası ise etkilenmemektedir.

dev.to yazısı bunu başlı başına bir gözlemlenebilirlik sorunu olarak çerçeveliyor. Yalnızca "SiteGuard" yazan, sürüm veya platform içermeyen bir varlık envanteri, kapsam belirleme sorunu bir olayın ortasında manuel keşfe dönüştürür. Kurulu sürümün yanında istatistik bayrağını da kaydetmek, bu bildiri ve gelecektekiler için bu boşluğu kapatır.

Yamalamadan önce kanıtı dışa aktarın

Satıcı, yöneticilerden güncelleme veya yama öncesinde yönetim arayüzünden tanılama bilgilerini indirmelerini istiyor ve güncelleme sürecinin bir saldırının izlerini silebileceği konusunda uyarıyor. dev.to analizinin de belirttiği gibi, bu talimat fiilen yetkili yerel kaydın nerede bulunduğuna dair bir beyandır: ürünün içinde ve host'ta herhangi bir şey değişmeden önce dışa aktarılması gerekir.

Etkilenme bağlamı

dev.to makalesi hazırlandığında ZoomEye, app="SiteGuard" etiketli 507 varlık gösteriyordu ve CVE etiketli hiçbir varlık yoktu. Bu, açıkta kalan popülasyon hakkında kabaca bir fikir verir, ancak herhangi bir给定 hostun bir enjeksiyonu yakalayacak telemetriye sahip olup olmadığı konusunda hiçbir şey söylemez.

Pratik bir kontrol listesi

• Her SiteGuard hostunda host düzeyinde süreç veya komut çalıştırma günlük kaydının etkinleştirildiğini doğrulayın ve saklama penceresini not edin. Günlük kaydı eksikse, bu boşluğu hostu atlamak için bir gerekçe değil, başlı başına bir bulgu olarak değerlendirin.
• Güncellemeyi uygulamadan önce kapsam dahilindeki her kurulumdan tanılama verisini çekin.
• Dışa aktarımları, daha sonra sürüm matrisine eşlenebilmeleri için hostname, platform, sürüm ve istatistik durumuyla birlikte saklayın.

Neden önemli

Zafiyetin istismar edildiği doğrulanmış durumda ve root düzeyinde komut çalıştırma sağlıyor; dolayısıyla bir yama sorunun yalnızca yarısını yanıtlar. Diğer yarısı — belirli bir hostun tehlikeye girip girmediği ve saldırganın ne yaptığı — yalnızca host düzeyindeki kanıtlardan yanıtlanabilir ve birçok kurum için bu kanıt ya vardır ya da yoktur. Bu vaka, host tabanlı güvenlik araçlarının kendisinin de host üzerinde çalışan bir yazılım olduğu hatırlatmasıdır: WAF savunmasız bileşen olduğunda, kendi kayıtları saldırının ortaya çıkması en olası yer olmaktan en uzak yerdir. Bu adımların hiçbiri tek başına ihlali kanıtlamaz, ancak birlikte uygulandıklarında, bir saldırının gözlemlemek veya yeniden yapılandırmak için hiçbir iz bırakmayacağı hostlar kümesini daraltırlar.