SiteGuard : une faille du WAF exploitée, que faire

Le pare-feu applicatif censé protéger un site peut devenir la porte d'entrée. La faille CVE-2026-106931, qui touche SiteGuard Server Edition, un WAF (Web Application Firewall) de l'éditeur japonais EG Secure Solutions, est activement exploitée. L'éditeur et le JPCERT/CC, le centre de réponse aux incidents japonais, l'ont confirmé le 14 octobre 2026. L'agence américaine CISA l'a ajoutée le 20 octobre à son catalogue des vulnérabilités exploitées, avec une échéance de correction fixée au 23 octobre pour les administrations fédérales.

Une injection de commandes dans la fonction statistiques

SiteGuard Server Edition est un WAF « hôte » : il s'installe directement sur le serveur web (Apache httpd, Nginx ou IIS) pour filtrer les requêtes malveillantes. La vulnérabilité est une injection de commandes système (CWE-78) dans sa fonction statistiques. Selon l'avis JVN#88474777, un attaquant peut exécuter des commandes arbitraires avec les privilèges root sous Linux et FreeBSD, ou SYSTEM sous Windows.

Les scores publiés sont de 8,5 en CVSS 4.0 et 7,8 en CVSS 3.0. L'exploitation suppose un accès local et des privilèges faibles : il s'agit donc d'une élévation de privilèges plutôt que d'une attaque à distance sans authentification. L'avis JVN la classe néanmoins au niveau de gravité « critique ». Ni l'éditeur ni le JPCERT n'ont communiqué sur l'identité des attaquants ou le nombre de victimes.

Versions touchées et correctifs

Sont concernées les versions 2.20 et ultérieures, uniquement si la fonction statistiques est activée — ce qui est le cas par défaut :

• Apache httpd, Nginx et IIS : versions antérieures à la 8.00 Update 5, qui corrige la faille ;
• Apache httpd et Nginx sous FreeBSD : versions antérieures à la 7.00 Update 6, qui corrige la faille ;
• IIS, versions 3.10 à 4.00 Update 4 : non affectées.

Pour les installations qui ne peuvent pas être mises à niveau, l'éditeur fournit un correctif qui remplace les fichiers utilisés par le traitement des statistiques. Ce correctif est également proposé pour les versions arrivées en fin de support. D'après le JVN, les clients disposant d'un contrat de support direct avaient été prévenus dès le 29 septembre.

Préserver les traces avant de corriger

Particularité de cet avis : EG Secure Solutions prévient que la mise à jour ou l'application du correctif peut effacer les traces d'une attaque. Avant toute intervention, l'éditeur recommande de télécharger les informations de diagnostic depuis l'interface web d'administration (menu « Informations de diagnostic »), afin de pouvoir mener une analyse ultérieure.

La marche à suivre pour les équipes concernées :

1. Inventorier les serveurs équipés de SiteGuard Server Edition et vérifier leur version.
2. Sauvegarder les informations de diagnostic de chaque instance.
3. Mettre à jour vers la 8.00 Update 5 (ou 7.00 Update 6 sous FreeBSD), ou appliquer le correctif de l'éditeur.
4. Rechercher des signes de compromission : comptes ou tâches planifiées inconnus, processus inhabituels lancés par le compte du serveur web.

Comme le rappelait déjà la faille critique exploitée de FortiMail, les équipements de sécurité exposés font partie des cibles privilégiées. Pour hiérarchiser ce type d'alerte parmi les correctifs du mois, notre méthode pour prioriser un Patch Tuesday chargé reste applicable : une faille exploitée passe en tête de liste.