במסך הניהול של SiteGuard יש עמוד שמראה כמה ניסיונות תקיפה נחסמו. רוב מנהלי השרתים פותחים אותו פעם בכמה שבועות, אם בכלל. העמוד הזה, שמרכז את הסטטיסטיקה, הוא בדיוק המקום שבו נמצאה החולשה שתוקפים כבר מנצלים בפועל.

מה קרה

SiteGuard Server Edition הוא מוצר יפני שמותקן על שרת האתר עצמו ובודק את הבקשות שמגיעות אליו, כדי לחסום ניסיונות תקיפה לפני שהם מגיעים לאפליקציה. למוצרים מהסוג הזה קוראים WAF. הרכיב שאוסף את נתוני החסימות מעביר חלק מהמידע שנאסף לפקודה של מערכת ההפעלה בלי לנקות אותו קודם, כך שטקסט שהתוקף שולט עליו נבלע בתוך הפקודה והשרת מריץ אותו כפקודה נוספת. לכשל מהסוג הזה קוראים OS Command Injection.

הפקודות האלה רצות בהרשאות הגבוהות ביותר שיש במכונה, root בלינוקס וב-FreeBSD או SYSTEM בווינדוס. לפי ההתרעה הדחופה שפרסם ה-CERT היפני, JPCERT/CC, ב-14 באוקטובר, התוקף צריך קודם חשבון בעל הרשאות משתמש בסיסיות על אותו שרת, ומשם החולשה (שסומנה CVE-2026-106931) מעלה אותו לשליטה מלאה. הציון שניתן לה בסולם CVSS הוא 8.5, ופונקציית הסטטיסטיקה שדרכה היא מנוצלת דלוקה מברירת מחדל.

היצרן, EG Secure Solutions, פרסם את ההודעה באותו יום וכתב שניצול של החולשה אושר, בלי לפרט מי תקף, מתי זה התחיל וכמה שרתים נפגעו. לפי BleepingComputer, לקוחות שיש להם ערוץ תמיכה ישיר מול החברה קיבלו עדכון כבר ב-29 בספטמבר, שבועיים לפני הפרסום הפומבי. JPCERT/CC מצידו מציין שהמוצר נפוץ מאוד בשוק היפני, וממליץ למי שמריץ אותו לא רק לעדכן אלא גם לבדוק אם כבר נפרץ.

למה זה חשוב לכם

נתחיל בהסתייגות: מדובר במוצר שמשווק בעיקר ביפן, והסיכוי שהוא מותקן על השרת שמאחסן אתר ישראלי הוא לא גדול. מה שכן עובר הלאה הוא שני דברים. הראשון הוא איך חשבון מוגבל אחד הופך לשליטה על הכול. לא מעט אתרים של עסקים קטנים יושבים על אירוח משותף, כלומר שרת אחד שמתארחים עליו עשרות או מאות לקוחות ולכל אחד חשבון משלו. חשבון כזה הוא בדיוק מה שהחולשה דורשת, ולכן פריצה לאתר אחד בשרת כזה עלולה להסתיים בשליטה על כל מה שעליו.

הדבר השני נוגע למוצרי אבטחה בכלל. כלי הגנה הוא בסופו של דבר עוד תוכנה, עם באגים משל עצמה, והוא כמעט תמיד רץ בהרשאות גבוהות יותר מהאפליקציה שהוא אמור לשמור עליה. אז כשנמצאת בו חולשה, היא שווה לתוקף יותר מחולשה באפליקציה הרגילה.

מה עושים?

יש לכם אתר שמישהו אחר מתחזק בשבילכם? שאלו את ספק האירוח, או את מי שמנהל את השרת, אם SiteGuard Server Edition מותקן עליו ובאיזו גרסה. ההתרעה נוגעת לגרסאות 2.20 ומעלה.

לפני שמתקינים את התיקון, בקשו שישמרו את מידע האבחון ממסך הניהול של המוצר, בעמוד Diagnostic information. היצרן מזהיר שהעדכון עצמו עלול למחוק את העקבות של תקיפה שכבר קרתה, וזה בדיוק המידע שיאפשר לבדוק אחר כך אם הייתה אחת.

אחרי זה אפשר לעדכן. הגרסה המתוקנת היא 8.00 Update 5 ומעלה, או 7.00 Update 6 במהדורות ה-FreeBSD. למי שמריץ גרסה שקשה לעדכן היצרן פרסם גם תיקון נפרד, שמחליף רק את הקבצים שמטפלים בסטטיסטיקה.

אי אפשר לעדכן עכשיו? כבו את פונקציית הסטטיסטיקה. בלעדיה אין דרך לנצל את החולשה, וזה קונה זמן עד שמגיעים לעדכון עצמו.

מוצר שרץ בהרשאות root על שרת האתר הוא לא רק שכבת ההגנה שלו. הוא גם המטרה המשתלמת ביותר שיש עליו.