Une vulnérabilité critique confirmée et déjà exploitée

Le pare-feu SiteGuard Server Edition, utilisé pour protéger plus de 1,5 million de sites web selon son éditeur, contient une faille d’injection de commandes OS (CVE-2026-106931) qui permet aux attaquants d’exécuter des instructions avec des privilèges élevés. Cette vulnérabilité, classée critique par le fournisseur et le Japan’s CERT agency (JPCERT/CC), cible spécifiquement la fonctionnalité de statistiques des instances WAF hébergées, qui est activée par défaut.

Une faille dans un pare-feu censé protéger les serveurs devient elle-même un vecteur d’attaque majeur, offrant aux pirates des privilèges système complets.

Quels systèmes et versions sont concernés ?

La faille affecte les versions 2.20 et ultérieures de SiteGuard Server Edition pour Apache httpd, Nginx et IIS (sauf FreeBSD), ainsi que les versions 2.20 à 7.00 Update 6 pour les configurations sous FreeBSD. Les éditions IIS 3.10 à 4.00 Update 4 ne sont pas touchées. Le fournisseur précise que des correctifs sont disponibles, y compris pour les versions en fin de vie, mais met en garde : les mises à jour peuvent effacer des traces d’attaque.

Comment les attaquants profitent-ils de cette faille ?

Une fois la faille exploitée, les pirates obtiennent des droits SYSTEM (Windows) ou root (Linux/FreeBSD), leur permettant de prendre le contrôle total des serveurs. Selon le JPCERT/CC et les alertes du fournisseur, cette exploitation est déjà en cours dans la nature. Les attaquants ciblent les instances où la fonctionnalité de statistiques est activée, ce qui est le cas par défaut. Le fournisseur recommande aux administrateurs de conserver les informations de diagnostic avant toute correction pour préserver les preuves forensiques.

Ce que cela change ici : risques pour les entreprises et administrations d’Afrique de l’Ouest

Les organisations béninoises et africaines utilisant SiteGuard Server Edition pour sécuriser leurs infrastructures web pourraient voir leurs systèmes compromis si elles ne corrigent pas cette faille. Avec plus de 500 000 sites WordPress protégés par ce WAF selon le fournisseur, les administrations, les banques et les entreprises locales dépendant de solutions similaires devraient évaluer leur exposition. Une exploitation réussie pourrait permettre aux attaquants d’accéder à des données sensibles ou de perturber des services critiques. Les recommandations du fournisseur (conserver les logs avant correction) s’appliquent aussi aux environnements locaux.