هکرها در حال بهره‌برداری از یک آسیب‌پذیری تزریق دستور سیستم‌عامل (OS Command Injection) در دیوار آتش اپلیکیشن وب (WAF) محصول SiteGuard Server Edition هستند. این نقص امنیتی به مهاجمان اجازه می‌دهد تا دستورات خود را با سطح دسترسی بسیار بالا (root یا SYSTEM) در سیستم‌های آسیب‌پذیر اجرا کنند.
این آسیب‌پذیری که با شناسه CVE-2026-106931 شناخته می‌شود، در ویژگی آمار (Statistics) نسخه‌های host-based WAF وجود دارد که به‌صورت پیش‌فرض فعال است. بر اساس گزارش‌های منتشر شده از سوی سازنده و مرکز CERT ژاپن، این آسیب‌پذیری دارای شدت بحرانی (Critical) است و تأیید شده که در حال حاضر در محیط‌های واقعی (in the wild) مورد سوءاستفاده قرار گرفته است.
با توجه به آمارهای موجود، این محصول بر روی حدود ۵۰۰,۰۰۰ وب‌سایت فعال است. با توجه به ماهیت محصول که یک WAF است، موفقیت مهاجمان در اکسپلویت این حفره می‌تواند منجر به تسلط کامل بر زیرساخت‌های محافظتی سازمان شود.
اقدامات اصلاحی و توصیه‌ها
سازنده محصول اعلام کرده است که وصله‌ای (Patch) برای نسخه‌های آسیب‌پذیر، از جمله نسخه‌های قدیمی (End-of-Life)، ارائه شده است. با این حال، یک هشدار مهم برای مدیران سیستم وجود دارد: فرآیند اعمال وصله ممکن است ردپای حملات قبلی را پاک کند. بنابراین، توصیه می‌شود پیش از هرگونه به‌روزرسانی، اقدامات زیر انجام شود:
- حفظ شواهد دیجیتال: مدیران باید ابتدا اطلاعات تشخیصی (Diagnostic information) را از طریق پنل مدیریت وب (مسیر: Web management screen -> Diagnostic information -> Download diagnostic information) دریافت و ذخیره کنند تا امکان تحلیل پس از حادثه (Forensics) فراهم باشد.
- بررسی نسخه‌ها: طبق گزارش JPCERT/CC، نسخه‌های IIS از 3.10 تا 4.00 Update 4 تحت تأثیر این آسیب‌پذیری نیستند.
به‌روزرسانی (اکتبر 19, 2026 — Cybersecurity News)
به‌روزرسانی: آسیب‌پذیری مشابهی از نوع تزریق دستور (Command Injection) در محصول SiteGuard Server Edition نیز شناسایی شده است که با شناسه CVE-2026-106931 ثبت شده است. این نقص امنیتی در همان بخش مدیریت آمار (Statistics) که به صورت پیش‌فرض فعال است، وجود دارد و به مهاجم اجازه می‌دهد دستورات سیستم‌عامل را با سطح دسترسی root یا SYSTEM اجرا کند.
جزئیات فنی و نسخه‌های آسیب‌پذیر:
- محصولات تحت تأثیر: SiteGuard Server Edition (از نسخه 2.20 به بعد در صورت فعال بودن Statistics).
- نسخه‌های اصلاح‌شده: برای نسخه‌های Apache، Nginx و IIS (غیر از FreeBSD)، ارتقا به نسخه 8.00 Update 5 الزامی است. برای نصب‌های FreeBSD (با Apache یا Nginx)، ارتقا به نسخه 7.00 Update 6 توصیه می‌شود.
- استثنا: نسخه‌های IIS از 3.10 تا 4.00 Update 4 تحت تأثیر این آسیب‌پذیری نیستند.
اقدامات اصلاحی: مدیران سیستم باید پیش از اعمال وصله (Patch) یا به‌روزرسانی، اطلاعات تشخیصی (Diagnostic Information) را از طریق رابط مدیریت وب ذخیره کنند تا در صورت نیاز به بررسی‌های جرم‌شناسی دیجیتال (Digital Forensics)، شواهد از بین نرود. در صورتی که ارتقا امکان‌پذیر نیست، سازنده وصله‌ای اختصاصی برای فایل‌های مربوط به پردازش آمار ارائه داده است.
به‌روزرسانی (اکتبر 19, 2026 — GBHackers)
به‌روزرسانی: شرکت EG Secure Solutions هشدار داده است که بهره‌برداری فعال از آسیب‌پذیری Command Injection در محصولات SiteGuard Server Edition در جریان است. نکته بسیار حیاتی این است که اعمال وصله (Patch) برای رفع این نقص ممکن است شواهد و ردپای حملات قبلی را از سیستم پاک کند. بنابراین، مدیران سیستم توصیه شده‌اند پیش از هرگونه به‌روزرسانی، اطلاعات تشخیصی (Diagnostic Information) را از طریق پنل مدیریت ذخیره کنند تا امکان بررسی‌های جرم‌شناسی دیجیتال (Digital Forensics) فراهم باشد.
این آسیب‌پذیری با شناسه CVE-2026-106931، دارای امتیاز 8.5 در CVSS 4.0 و 7.8 در CVSS 3.0 است. محصولات آسیب‌پذیر شامل SiteGuard Server Edition نسخه 2.20 و بالاتر هستند (در صورت فعال بودن قابلیت Statistics). جزئیات نسخه‌های تحت تأثیر عبارتند از:
- Apache httpd، Nginx و IIS: نسخه‌های قبل از 8.00 Update 5.
- FreeBSD (Apache و Nginx): نسخه‌های قبل از 7.00 Update 6.
با توجه به اینکه این نقص می‌تواند منجر به دسترسی سطح root در سیستم‌های لینوکس یا FreeBSD و سطح SYSTEM در ویندوز شود، بررسی سیستم‌ها برای یافتن نشانه‌های نفوذ پیش از اعمال وصله، امری ضروری است.
