CVE-2026-106931 : SiteGuard Server OS injection RCE root

Les faits

Le 14 octobre 2026, EG Secure Solutions, l'éditeur japonais du WAF hôte SiteGuard Server Edition, publie un bulletin de sécurité urgent confirmant une vulnérabilité d'injection de commandes OS (CWE-78 : Improper Neutralization of Special Elements used in an OS Command) dans son produit, enregistrée sous CVE-2026-106931 avec un score CVSS v3.1 de 8.5 (Élevé). La même journée, le JPCERT/CC publie son alerte officielle at260032 et VulnCheck inscrit CVE-2026-106931 dans son catalogue KEV (Known Exploited Vulnerabilities), confirmant une exploitation active en conditions réelles.

SiteGuard Server Edition est un pare-feu applicatif web (WAF) de type hôte, déployé directement sur le serveur web comme module intégré. Il s'installe en tant que module natif pour Apache httpd, Nginx et Microsoft IIS, sans nécessiter d'appliance réseau dédiée ni de modification de l'architecture d'infrastructure. Développé par EG Secure Solutions, filiale du groupe Eset au Japon, le produit est largement utilisé par des entreprises japonaises, des administrations publiques, des établissements financiers et des opérateurs de sites e-commerce. Sa popularité dans les secteurs public et financier japonais lui confère une surface d'exposition significative dans les infrastructures critiques.

La vulnérabilité réside dans la fonction statistiques de SiteGuard Server Edition, activée par défaut dans toutes les installations standard. Cette fonction collecte et traite des données statistiques sur le trafic web et les tentatives d'attaque interceptées par le WAF. Dans le traitement de ces données statistiques, des entrées contrôlables par un attaquant sont incorporées dans une commande shell construite dynamiquement, sans neutralisation adéquate des métacaractères shell (point-virgule, pipe, esperluette, dollar, backtick). Un attaquant peut ainsi injecter des commandes OS arbitraires qui s'exécutent avec les privilèges du processus serveur web.

Sur les configurations Linux utilisant Apache httpd ou Nginx, le module SiteGuard s'exécute dans le contexte du processus du serveur web. Selon la configuration du système, ce processus peut s'exécuter en tant que root (configurations héritées ou mal configurées) ou en tant que www-data/nginx avec des capacités système étendues. Sur IIS Windows, le processus W3WP (IIS Worker Process) s'exécute typiquement en tant que SYSTEM (compte LocalSystem), conférant à l'attaquant les privilèges les plus élevés disponibles sur le système d'exploitation Windows sans nécessiter d'étape d'élévation de privilèges supplémentaire.

EG Secure Solutions a confirmé publiquement que la vulnérabilité est activement exploitée in-the-wild, avec des incidents documentés avant la publication du patch. L'éditeur émet une mise en garde particulièrement importante pour les équipes de réponse à incident : la mise à jour vers la version corrigée peut effacer des preuves d'intrusion. Cet avertissement suggère que le processus de mise à jour modifie ou écrase des fichiers de logs ou de configuration qui pourraient contenir des traces d'activité malveillante. Les équipes de sécurité doivent impérativement effectuer une capture forensique complète du système avant d'appliquer le correctif.

Cette vulnérabilité présente un aspect particulièrement préoccupant : SiteGuard Server Edition est un outil de sécurité censé protéger les applications web contre les injections et autres attaques web. Une faille de type OS command injection dans un WAF représente un risque doublement grave. Premièrement, l'attaquant contourne la couche de protection et accède directement aux ressources du serveur. Deuxièmement, un WAF compromis peut être modifié pour désactiver ses propres règles de protection, autoriser le trafic malveillant futur, ou pire, pour exfiltrer silencieusement le trafic HTTP en clair (avant chiffrement TLS) vers l'infrastructure de l'attaquant. Cette capacité d'interception du trafic web non chiffré est particulièrement dangereuse pour les applications traitant des données sensibles.

Le JPCERT/CC, dans son alerte at260032, précise les versions corrigées pour chaque combinaison de produit et de serveur web, et insiste sur la nécessité de préserver les logs et traces système avant toute intervention corrective. Les organisations qui ont découvert la vulnérabilité après la divulgation du 14 octobre mais dont les systèmes tournaient sans patch depuis plusieurs jours doivent envisager la possibilité d'une compromission préalable et lancer une investigation forensique appropriée avant toute action corrective.

Pour les serveurs IIS sur Windows, l'exploitation SYSTEM ouvre potentiellement des vecteurs de compromission de l'infrastructure Active Directory si le serveur est membre d'un domaine. L'escalade de privilèges depuis un compte SYSTEM vers un contrôleur de domaine via des techniques comme DCSync, Pass-the-Hash ou des attaques Kerberos est une chaîne d'attaque bien documentée dans les campagnes ransomware ciblant les entreprises. Un seul serveur web IIS compromis peut constituer le point d'entrée initial d'une compromission d'entreprise complète.

Les versions corrigées publiées par EG Secure Solutions sont : Ver8.00 Update 5 (branche principale) pour Apache httpd, Nginx (Linux) et IIS ; Ver3.10 pour les versions de la branche 3.x ; Ver7.00 Update 6 pour les versions de la branche 7.x. Les versions très anciennes (Ver2.20 à Ver6.x) doivent être migrées vers une version supportée avant d'appliquer le correctif. EG Secure Solutions recommande de contacter leur support pour les migrations depuis des versions en fin de vie.

Impact et exposition

L'exploitation active de CVE-2026-106931 a été confirmée avant la publication du patch, ce qui signifie que des acteurs malveillants avaient connaissance de la vulnérabilité avant sa divulgation publique — caractéristique d'un zero-day ou d'une vulnérabilité divulguée de manière limitée avant le correctif. Les organisations utilisant SiteGuard Server Edition sans avoir appliqué le patch avant le 14 octobre 2026 doivent être considérées comme potentiellement compromises et doivent lancer des investigations préventives.

Les secteurs les plus exposés sont les entreprises japonaises (secteur public, financier, e-commerce) qui constituent la base d'utilisateurs principale de SiteGuard Server Edition. Les serveurs web hébergeant des applications critiques — portails clients, applications bancaires en ligne, plateformes de paiement, systèmes de gestion administrative — protégés par SiteGuard représentent des cibles hautement valorisées. La compromission du WAF lui-même est particulièrement insidieuse car l'attaquant peut modifier le WAF pour exclure son propre trafic des contrôles de sécurité, rendant les attaques futures totalement invisibles au niveau de la couche applicative.

Les indicateurs de compromission observés incluent des processus enfants inhabituels lancés depuis les processus serveur web (httpd, nginx, w3wp), des connexions réseau sortantes vers des IP non référencées depuis ces processus, des fichiers nouveaux ou modifiés dans les répertoires web, et des entrées inattendues dans les crontabs système ou les tâches planifiées Windows.

Recommandations immédiates

• AVANT toute mise à jour : créer une image forensique complète — dump mémoire, copies des logs Apache/Nginx/IIS, logs SiteGuard, liste des processus actifs (ps aux, netstat -tulpn), connexions réseau établies — la mise à jour peut effacer des preuves selon EG Secure Solutions
• Mettre à jour vers Ver8.00 Update 5 (Apache/Nginx Linux et IIS Windows), Ver3.10 (branche 3.x) ou Ver7.00 Update 6 (branche 7.x) — EG Secure Solutions Security Advisory CVE-2026-106931 / JPCERT alerte at260032
• Auditer les logs de la fonction statistiques de SiteGuard pour détecter des entrées contenant des métacaractères shell (;, |, &&, `, $()
• Vérifier l'intégrité des fichiers de configuration SiteGuard et des modules Apache/Nginx/IIS — rechercher des webshells ou modifications non autorisées dans les répertoires web
• Surveiller les comptes système créés récemment : cat /etc/passwd | grep -v nologin | tail -20 (Linux), net user (Windows)
• Inspecter les tâches planifiées : crontab -l (Linux), schtasks /query /fo LIST /v (Windows)