SiteGuard : exploitation active de CVE-2026-106931
Une faille d'injection de commandes dans la fonction statistiques permet d'exécuter des commandes avec les privilèges root ou SYSTEM.
Une vulnérabilité d'injection de commandes, identifiée CVE-2026-106931, est activement exploitée dans la fonction statistiques de SiteGuard Server Edition, selon BleepingComputer. L'exploitation permet aux attaquants d'exécuter des commandes avec les privilèges root ou SYSTEM.
Les versions concernées sont, pour Apache httpd, Nginx et IIS (hors FreeBSD), les versions 2.20 et ultérieures antérieures à la mise à jour 8.00 Update 5. Pour Apache httpd et Nginx sous FreeBSD, sont vulnérables les versions 2.20 et ultérieures antérieures à 7.00 Update 6. Les éditions IIS 3.10 à 4.00 Update 4 ne sont pas affectées.
La faille est exploitable lorsque la fonction statistiques, activée par défaut, est active. L'éditeur fournit un correctif qui remplace les fichiers utilisés dans le traitement des statistiques, y compris pour les versions en fin de vie. Il recommande aux administrateurs d'enregistrer les informations de diagnostic comme preuves avant d'appliquer le correctif, car la remédiation peut effacer les traces d'attaque.
Le 29 septembre, l'éditeur a notifié la faille aux clients disposant de contacts de support directs. Selon SiteGuard, le produit protège plus de 1,5 million de sites web, et les statistiques de WordPress.org indiquent qu'il est actif sur 500 000 sites.
En bref
Quelles versions de SiteGuard Server Edition sont vulnérables à CVE-2026-106931 ?
Pour Apache httpd, Nginx et IIS (hors FreeBSD), les versions 2.20 et ultérieures antérieures à 8.00 Update 5. Pour Apache httpd et Nginx sous FreeBSD, les versions 2.20 et ultérieures antérieures à 7.00 Update 6. Les éditions IIS 3.10 à 4.00 Update 4 ne sont pas affectées.
Que permet l'exploitation de CVE-2026-106931 ?
Elle permet aux attaquants d'exécuter des commandes avec les privilèges root ou SYSTEM.
Un correctif est-il disponible pour CVE-2026-106931 ?
Oui, l'éditeur fournit un correctif qui remplace les fichiers utilisés dans le traitement des statistiques, y compris pour les versions en fin de vie.