SiteGuard、悪用が確認された脆弱性の修正適用で攻撃の痕跡が消える恐れと警告

EG Secure Solutionsは、SiteGuard Server Editionの脆弱性が悪用されていると警告しました。修正を適用すると、それ以前の攻撃の痕跡が消える可能性があるといいます。

問題の脆弱性は「CVE-2026-106931」で、製品の統計機能に影響します。この機能はデフォルトで有効です。管理者はアップデートの前に診断情報を保存し、サーバがすでに侵害されていないかを確認できるようにしておく必要があります。

SiteGuard Server Editionは、保護対象のWebサーバ上で動作するホスト型のWebアプリケーションファイアウォール(WAF)です。脆弱性は統計機能に存在するOSコマンドインジェクションです。

Vulnerabilityassessment service

悪用されると、攻撃者はLinuxやFreeBSDではroot権限、WindowsではSYSTEM権限でコマンドを実行できる恐れがあります。CVSS 4.0では8.5、CVSS 3.0では7.8と評価されています。

Japan Vulnerability Notes(JVN)の研究者らは、この脆弱性が実際に悪用されたと指摘しています。ただしJVNの注意喚起には、マルウェアファミリー、攻撃者、被害者、攻撃に使われた具体的な手法は記載されていません。ハッシュ値などの技術的な痕跡情報も公開されていません。

悪用が確認されている以上、アップデートに成功しただけで侵入がなかったとみなすべきではありません。各組織は影響を受けるシステムを調査することが重要です。

影響を受けるのは、統計機能が有効なSiteGuard Server Editionのバージョン2.20以降です(一部例外あり)。Apache httpd、Nginx、IISでは、8.00 Update 5より前のバージョンが対象です。

FreeBSD上のApache httpdとNginxでは、7.00 Update 6より前のバージョンが対象となります。IISのバージョン3.10から4.00 Update 4までは影響を受けません。管理者は、使用している製品、プラットフォーム、バージョン、統計機能の設定を、JVNのセキュリティ注意喚起で正確に確認してください。

SiteGuard、悪用が確認された脆弱性の修正適用に警告

コマンドインジェクションは、ソフトウェアが入力をシステムコマンドとして扱える形で処理してしまうときに発生します。今回の問題は、WAF本来のトラフィックフィルタリングルールではなく、SiteGuardの統計処理部分にあります。

SiteGuardはサーバ上で直接動作するため、悪用に成功するとWAFの範囲を超えて、攻撃者にホストの制御を許す恐れがあります。

その結果、データの漏えい、ファイルや設定の改ざん、サービスの中断につながる可能性があります。JVNは、必要なアクセス条件を「ローカル」かつ「低権限」としており、認証不要のリモートからの脆弱性ではないと説明しています。

今回の件は、WAFが保護対象システムの万全な防御にはならないことも示しています。セキュリティチームは、WAFとそのホストを最新の状態に保ち、管理アクセスを制限し、サーバ上の不審な動きを監視する必要があります。

CyberSecurity Tools

GBHackersはこれまでにも、Webアプリケーションファイアウォールの脆弱性やWAFのセキュリティフィルタ回避を取り上げています。こうした製品自体にも、慎重なパッチ適用と監視が欠かせないことがわかります。

パッチ適用前に証拠を保全

EG Secure Solutionsは、修正版へ更新すると攻撃の痕跡が消える可能性があると警告しています。JPCERT/CCは、アップグレード前に製品の診断情報を保存するよう推奨しています。

管理者はSiteGuardのWeb管理画面から診断情報をダウンロードして保管し、そのうえでベンダーの手順に従って対処してください。

ファイルは保護された場所に保管し、取得した日時と場所を記録しておきます。そうすれば、後の調査で調査担当者が活用できます。

この手順が重要なのは、パッチの適用によって影響を受けるソフトウェアが変更されるためです。更新後に不審な動きが見つかった場合、診断データがなければ、更新前に何が起きたかを突き止めるのが難しくなる恐れがあります。

侵害の兆候がある組織は、証拠に影響しかねない変更を加える前に、関連するシステムログとセキュリティログを保全し、インシデント対応のプロセスに従ってください。

入手できる注意喚起には、更新のたびに証拠が消えるとは書かれていません。ただし、痕跡が削除される可能性があることは明確に警告されています。推奨される対策は、修正版へのアップグレードです。Apache httpd、Nginx、IISでは8.00 Update 5、FreeBSD上のApache httpdとNginxでは7.00 Update 6が該当します。

ベンダーは、統計処理に使われるファイルを置き換えるパッチも提供しており、一部のサポート終了バージョンも対象です。JPCERT/CCによると、統計機能を無効化することでも影響を回避できます。ただし、この回避策に頼る前に、管理者はEG Secure Solutionsに手順を確認してください。

公表までの経緯も参考になります。EG Secure Solutionsによると、直接サポート契約を結んでいる顧客には2026年9月29日に通知しました。

その後、10月14日にJVNが注意喚起を公開しました。JVNによると、開発者が脆弱性を日本のIPAに報告し、JPCERT/CCが公開に向けた調整を担当しました。

ベンダーは悪用を確認していますが、公開された注意喚起には、被害を受けたシステムの数や攻撃の詳細は記載されていません。

防御側が取るべき手順は明快です。まずSiteGuardの導入環境とバージョンを洗い出し、診断情報を保全します。次に侵害の兆候を調査し、そのうえでベンダーの修正パッチか、承認された回避策を適用してください。

対処後も、ホストの監視を続けてください。想定外のコマンド実行やその他の不審な動きがないか、入手できる記録も確認します。パッチ適用は不可欠ですが、適用前に何が起きていたかを調べる調査の代わりにはなりません。

侵害指標(IoC):-

注: IPアドレスやドメインは、誤って名前解決されたりハイパーリンク化されたりするのを防ぐため、意図的に無害化(例: [.])しています。無害化の解除は、MISP、VirusTotal、自社のSIEMなど、管理された脅威インテリジェンス基盤の内部でのみ行ってください。

1万6,000以上のSOCチームがANY.RUNを活用し、脅威調査を効率化して手作業を減らしています。 自社チームで試す