CVE-2026-106931：SiteGuard WAFの脆弱性が悪用される

攻撃者が、SiteGuard Server Editionに存在するOSコマンドインジェクションの脆弱性「CVE-2026-106931」を悪用しています。この脆弱性を突かれると、LinuxとFreeBSDではroot権限、WindowsではSYSTEM権限で任意のコマンドを実行される恐れがあります。

ただし、パッチ適用だけでは対応として十分ではありません。EG Secure Solutionsは、アップデートや同社のパッチを適用すると攻撃の痕跡が消える可能性があると警告しています。影響を受ける組織は、修正作業の前にSiteGuardの診断情報を保存しておく必要があります。

脆弱性があるのは、SiteGuard Server Editionの統計機能です。この機能は初期設定で有効になっています。Japan Vulnerability Notesによると、悪用に成功すると、影響を受けるホストの権限で任意のOSコマンドを実行できます。

CVE-2026-106931の影響を受けるのは誰か

SiteGuard Server Editionは、ホスト型のWebアプリケーションファイアウォール（WAF）です。独立したネットワーク機器として動作するだけでなく、Webサーバーに組み込んで使います。

CVE-2026-106931は、統計機能を有効にしたSiteGuard Server Editionのバージョン2.20以降に影響します。具体的な影響範囲はプラットフォームによって異なります。

• Apache httpd、Nginx、IIS：バージョン2.20以降、8.00 Update 5より前
• FreeBSD上のApache httpdとNginx：バージョン2.20以降、7.00 Update 6より前
• IISのバージョン3.10〜4.00 Update 4：影響なし

統計機能は初期設定で有効です。そのため、管理者が意図的に機能を有効にしていないからといって、安全だと思い込むべきではありません。

この脆弱性はCWE-78（OSコマンドインジェクション）に分類されています。CVSS 4.0のベーススコアは8.5（High）、CVSS 3.0のスコアは7.8です。ただし、ベンダーがすでに実環境での悪用を確認しているため、CVSSスコアだけで対応の優先度を判断すべきではありません。

注意が必要な点があります。公開されている注意喚起は、認証不要のリモート攻撃については説明していません。

公式のCVSSベクターでは、攻撃元区分はローカル、必要な権限は低、ユーザーの関与は不要とされています。EG Secure SolutionsもJPCERT/CCも、攻撃者がどのように最初のアクセスを得ているのか、どのようなペイロードを使っているのか、どの組織が侵害されたのかを明らかにしていません。

このため、攻撃の連鎖（エクスプロイトチェーン）は不明です。セキュリティ担当者は、公開インターネットから直接この脆弱性を突けると決めつけるべきではありません。一方で、詳しい技術情報が出るのを待たずに、該当する構成のシステムへ対処する必要があります。

修正の適用前に診断情報を保存する

今回の対応で特徴的なのは、作業の順序です。

EG Secure Solutionsはセキュリティ情報で、SiteGuardをアップデートまたはパッチ適用すると、攻撃の証拠が削除される可能性があると説明しています。管理者は対処の前に、Web管理画面から診断情報をダウンロードして保管してください。

Web管理画面 > 診断情報 > 診断情報のダウンロード

ダウンロードした診断情報は、影響を受けるサーバーとは別の場所に保管してください。侵害が疑われる場合は、調査対象のシステム上だけに残すのではなく、組織の通常のデジタルフォレンジックおよびインシデント対応の証拠として扱う必要があります。

診断情報を保全した後は、次の3つの対処方法があります。

• Apache、Nginx、IISの環境は、8.00 Update 5以降へアップデートする。
• FreeBSD上のApacheまたはNginxの環境は、7.00 Update 6以降へアップデートする。
• 完全なアップグレードが難しい場合は、ベンダーが提供する単体パッチを適用する。EG Secure Solutionsによると、このパッチはサポート終了バージョンにも提供されています。

すぐにアップデートやパッチ適用ができない環境については、JPCERT/CCが、統計機能を無効にすればこの脆弱性の影響を受けなくなると説明しています。ただし、これはあくまで暫定的な回避策です。脆弱なバージョンを使い続ける理由にしてはいけません。

JPCERT/CCは、すでに悪用が確認されていることから、影響を受けるシステムで侵害の有無を調査するよう検討することも推奨しています。

セキュリティ担当者が今すぐ取るべき対応

実践的な対応は、エクスプロイトコードの公開や攻撃者に関する続報を待たなくても始められます。

まずSiteGuard Server Editionを使っているシステムを洗い出し、次の手順に進みます。

1. インストールされているバージョンとプラットフォームを確認する。
2. 統計機能が有効かどうかを確認する。
3. 環境を変更する前に、診断情報をダウンロードして保全する。
4. 影響を受けるシステムに侵害の兆候がないか調査する。
5. 修正版へアップグレードするか、ベンダーのパッチを適用する。
6. すぐに対処できない場合は、暫定措置として統計機能を無効にする。
7. 対処後にシステムを再確認し、修正済みバージョンで動作していることを確かめる。

EG Secure Solutionsによると、直接サポート契約を結んでいる顧客には、脆弱性と対策について9月29日に通知しました。一般向けの注意喚起は10月14日に公開されています。ベンダーは、悪用がいつ始まったのか、誰が背後にいるのか、何台のシステムが侵害されたのかを明らかにしていません。

こうした不明点があっても、当面の対応は変わりません。統計機能は初期設定で有効で、悪用も確認されており、対処作業そのものが有用な証拠を消してしまう恐れがあります。まず診断情報を保全し、そのうえで脆弱な経路を塞いでください。

関連記事：GitLabは最近、CVSSスコア10.0のサーバー乗っ取りの脆弱性を修正しました。