Peretas Manfaatkan Celah Kritis SiteGuard WAF untuk Eksekusi Perintah Sistem sebagai Admin

Kelompok peretas dilaporkan tengah mengeksploitasi celah kerentanan OS command-injection pada produk web application firewall (WAF) SiteGuard Server Edition. Celah berbahaya ini memungkinkan penyerang untuk menjalankan perintah sistem secara sewenang-wenang dengan hak istimewa tertinggi, yakni root atau SYSTEM, pada mesin yang terinfeksi.

Kerentanan kritis tersebut dilacak dengan nomor pengenal CVE-2026-106931 dan berdampak langsung pada fitur statistik (statistics feature) di dalam instansi WAF berbasis host, di mana fitur ini secara default berada dalam kondisi aktif (enabled).

SiteGuard sendiri merupakan salah satu vendor WAF terkemuka asal Jepang yang mengklaim melindungi lebih dari 1,5 juta situs web. Berdasarkan statistik dari WordPress.org, produk keamanan ini tercatat aktif digunakan pada sekitar 500.000 situs web.

Berdasarkan buletin resmi yang dirilis oleh pihak vendor serta peringatan darurat dari badan sertifikasi keamanan komputer Jepang (JPCERT/CC), CVE-2026-106931 dikategorikan memiliki tingkat keparahan kritis (critical severity) dan telah terbukti dieksploitasi secara aktif di alam liar (in the wild).

“Kerentanan OS command injection (CVE-2026-106931) telah ditemukan pada fungsi statistik SiteGuard Server Edition. Penyalahgunaan celah ini telah dikonfirmasi,” tulis pihak SiteGuard dalam peringatan resminya. Kendati demikian, hingga saat ini belum ada rincian lebih lanjut mengenai identitas pelaku, target korban, skala serangan, maupun metode spesifik yang digunakan karena buletin keamanan tidak memuat informasi tersebut.

Daftar Versi Terdampak dan Solusi Perbaikan

Pihak vendor merinci bahwa kerentanan ini memengaruhi sejumlah versi SiteGuard Server Edition berikut:

• SiteGuard Server Edition untuk Apache httpd, Nginx, dan IIS (kecuali FreeBSD): Versi 2.20 hingga versi sebelum 8.00 Update 5.
• SiteGuard Server Edition untuk Apache httpd dan Nginx pada FreeBSD: Versi 2.20 hingga versi sebelum 7.00 Update 6.

Eksploitasi dapat berhasil dilakukan pada versi-versi di atas apabila fitur statistik dalam keadaan aktif. Di sisi lain, JPCERT/CC mencatat bahwa edisi IIS versi 3.10 hingga 4.00 Update 4 (inklusif) dipastikan aman dan tidak terdampak.

Bagi para administrator yang belum dapat segera melakukan peningkatan sistem (upgrade), vendor menyediakan patch alternatif berupa penggantian berkas yang digunakan dalam pemrosesan statistik, yang bahkan turut disediakan untuk versi-versi perangkat lunak yang telah mencapai akhir masa pakai (end-of-life).

Namun, pihak vendor memberikan peringatan penting bahwa proses remediasi berpotensi menghapus jejak-jejak serangan yang tertinggal. Oleh karena itu, administrator sangat dianjurkan untuk mengamankan barang bukti terlebih dahulu sebelum menerapkan pembaruan atau patch. Pengguna dapat mengunduh dan menyimpan “Informasi diagnostik” melalui antarmuka manajemen web dengan menavigasi menu: Web management screen -> Diagnostic information -> Download diagnostic information.

Pelanggan yang memiliki kontak dukungan langsung dilaporkan telah menerima pemberitahuan mengenai kerentanan ini lebih awal sejak tanggal 29 September lalu.

Sumber: SiteGuard Security Advisory