ハッカーが、Webアプリケーションファイアウォール（WAF）「SiteGuard Server Edition」に存在するOSコマンドインジェクションの脆弱性を悪用しています。この攻撃により、影響を受けるマシン上でroot権限またはSYSTEM権限のコマンドを実行される恐れがあります。
この脆弱性は「CVE-2026-106931」として追跡されており、ホスト型WAFインスタンスの統計機能に影響します。統計機能はデフォルトで有効です。
SiteGuardは日本を代表するWAFベンダーの製品で、150万以上のWebサイトを保護しているとしています。WordPress.orgの統計によると、この製品は50万サイトで稼働しています。
ベンダーのセキュリティ情報と日本のCERT機関による警告によると、CVE-2026-106931の深刻度は「緊急（クリティカル）」で、すでに実環境で悪用されています。
SiteGuardは注意喚起で、次のように述べています。「SiteGuard Server Editionの統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）が見つかりました。すでに悪用が確認されています」
攻撃者の正体、被害者、攻撃の規模、使用された手口は不明です。2つのセキュリティ情報のどちらも、こうした詳細を明らかにしていません。
ベンダーによると、CVE-2026-106931の影響を受ける製品バージョンは次のとおりです。
- Apache httpd、Nginx、IIS向けSiteGuard Server Edition（FreeBSDを除く）：バージョン2.20以降、8.00 Update 5より前
- FreeBSD上のApache httpdおよびNginx向けSiteGuard Server Edition：バージョン2.20以降、7.00 Update 6より前
上記のバージョンで統計機能が有効になっていると、攻撃が成立する可能性があります。JPCERT/CCによると、IIS版のバージョン3.10から4.00 Update 4まで（両端を含む）は影響を受けません。
バージョンアップが難しい環境向けに、ベンダーは統計処理に使われるファイルを置き換えるパッチを提供しています。サポート終了バージョンも対象です。
ベンダーは、修正を適用すると攻撃の痕跡が消える可能性があると警告しています。管理者には、アップデートやパッチ適用の前に証拠を保全するよう推奨しています。
具体的には、Web管理画面から「診断情報」をダウンロードして保管するよう案内しています（Web管理画面→診断情報→診断情報のダウンロード）。
ベンダーによると、サポート窓口と直接やり取りのある顧客には、9月29日にこの脆弱性を事前に通知済みです。
