Nội dung bài viết
JPCERT/CC (trung tâm ứng cứu sự cố máy tính của Nhật Bản) và nhà phát triển EG Secure Solutions cảnh báo lỗ hổng CVE-2026-106931 trong SiteGuard Server Edition đã bị khai thác ngoài thực tế. Lỗ hổng cho phép chạy lệnh hệ điều hành tùy ý với quyền root (Linux) hoặc SYSTEM (Windows) trên máy chủ.
SiteGuard Server Edition là tường lửa ứng dụng web (WAF) dạng host-based, cài trực tiếp vào web server Apache httpd, Nginx hoặc IIS. Nhà phát triển cho biết các sản phẩm SiteGuard đang bảo vệ hơn 1,5 triệu website.
Chi tiết lỗ hổng
- CVE: CVE-2026-106931, loại lỗi chèn lệnh hệ điều hành (CWE-78)
- Điểm: CVSS v3.0 7.8, CVSS v4.0 8.5. JVN xếp mức nghiêm trọng.
- Vị trí lỗi: tính năng thống kê (statistics) của SiteGuard, vốn bật sẵn theo mặc định
- Tình trạng: đang bị khai thác. Cả nhà phát triển và JVN đều xác nhận nhưng chưa công bố cách tấn công, quy mô hay nạn nhân.
Theo vector CVSS chính thức (AV:L/PR:L), kẻ tấn công cần có sẵn quyền truy cập cục bộ ở mức thấp trên máy chủ, tức đây không phải lỗi khai thác trực tiếp từ Internet. Tuy nhiên, với máy chủ web, điều kiện này không khó đạt: kẻ tấn công có thể đã chiếm được một website qua plugin lỗi và cài web shell, hoặc có tài khoản trên máy chủ dùng chung. Từ đó, lỗ hổng giúp chúng leo từ quyền thấp lên root, chiếm toàn bộ máy chủ và mọi website trên đó.
Phiên bản bị ảnh hưởng và bản vá
| Phiên bản | Bị ảnh hưởng | Đã vá ở |
|---|---|---|
| SiteGuard Server Edition cho Apache httpd, Nginx, IIS | Ver2.20 tới trước Ver8.00 Update5 | Ver8.00 Update5 |
| SiteGuard Server Edition cho Apache httpd, Nginx trên FreeBSD | Ver2.20 tới trước Ver7.00 Update6 | Ver7.00 Update6 |
Bản IIS từ Ver3.10 tới Ver4.00 Update4 không bị ảnh hưởng. Lỗ hổng chỉ khai thác được khi tính năng thống kê đang bật.
Nếu chưa thể nâng cấp, nhà phát triển cung cấp bản vá thay thế các file xử lý thống kê, áp dụng được cho cả những phiên bản đã hết hỗ trợ.
Không nhầm với SiteGuard WP Plugin. SiteGuard WP Plugin là plugin bảo vệ trang đăng nhập WordPress, có trên WordPress.org, và là một sản phẩm khác. Thông báo của nhà phát triển và JVN chỉ nói tới SiteGuard Server Edition.
Cần làm gì?
- Lưu bằng chứng trước khi vá. Nhà phát triển cảnh báo việc cập nhật có thể xóa dấu vết tấn công. Vào giao diện quản trị web của SiteGuard → Diagnostic information → Download diagnostic information và cất file này lại.
- Nâng cấp lên Ver8.00 Update5 (hoặc Ver7.00 Update6 trên FreeBSD), hoặc áp dụng bản vá của nhà phát triển.
- Rà soát máy chủ: nhà phát triển đã báo riêng cho khách hàng có hợp đồng hỗ trợ từ 29/9/2026, gần hai tuần trước khi công bố rộng rãi ngày 14/10. Máy chủ có thể đã bị tấn công trước khi bạn biết tin. Hãy kiểm tra tiến trình lạ, tài khoản và khóa SSH mới, cron job, file thay đổi gần đây, web shell trong thư mục website.
- Nếu phát hiện dấu hiệu bất thường, liên hệ bộ phận hỗ trợ của nhà phát triển và coi như toàn bộ website trên máy chủ đều có thể đã bị ảnh hưởng: đổi mật khẩu database, panel hosting, SSH và các khóa API lưu trên máy chủ.
Nếu bạn dùng hosting có SiteGuard và không tự quản trị máy chủ, hãy hỏi nhà cung cấp xem họ đã cập nhật hay chưa.
Nguồn tham khảo: JVN#88474777, thông báo của EG Secure Solutions và BleepingComputer.
