攻撃者は、SiteGuard Server Editionに存在するCVE-2026-106931を悪用しています。このOSコマンドインジェクションの脆弱性により、LinuxおよびFreeBSDシステムではroot権限、WindowsではSYSTEM権限でコマンドを実行される可能性があります。
パッチ適用は対応の一部にすぎません。EG Secure Solutionsは、更新またはパッチの適用によって攻撃の痕跡が消去される可能性があると警告しています。そのため、影響を受ける組織は対策の変更を行う前に、SiteGuardの診断情報を保存する必要があります。
この脆弱性は、デフォルトで有効になっているSiteGuard Server Editionの統計機能に存在します。Japan Vulnerability Notesによると、悪用に成功すると、影響を受けるホストの権限で任意のOSコマンドを実行される可能性があります。
CVE-2026-106931の影響を受けるのは？
SiteGuard Server Editionは、単独のネットワークアプライアンスとしてのみ動作するのではなく、Webサーバーと統合して動作するホスト型のWebアプリケーションファイアウォール（WAF）です。
CVE-2026-106931の影響を受けるのは、統計機能が有効になっているSiteGuard Server Editionバージョン2.20以降です。正確な脆弱性の対象範囲はプラットフォームによって異なります。
- Apache httpd、Nginx、IIS：バージョン2.20以降、8.00 Update 5より前。
- FreeBSD上のApache httpdおよびNginx：バージョン2.20以降、7.00 Update 6より前。
- IISバージョン3.10から4.00 Update 4まで：影響なし。
統計機能はデフォルトで有効になっているため、誰も意図的に機能を有効にしていないからといって、インストール環境が安全だと考えてはいけません。
この脆弱性はCWE-78のOSコマンドインジェクションに分類されています。CVSS 4.0の基本スコアは8.5で「高」、CVSS 3.0のスコアは7.8です。ただし、CVSSスコアだけでは判断できません。ベンダーはすでに実際の攻撃で悪用されていることを確認しています。
注意深く扱うべき点が1つあります。公開されているアドバイザリでは、認証不要のリモート攻撃については説明されていません。
公式のCVSSベクトルでは、攻撃ベクトルはローカルで、必要なのは低い権限であり、ユーザーの操作は不要です。EG Secure SolutionsもJPCERT/CCも、攻撃者がどのように最初のアクセスを取得しているのか、どのようなペイロードを使用しているのか、どの組織が侵害されたのかを明らかにしていません。
そのため、攻撃チェーンは不明なままです。セキュリティチームは、この脆弱性が公開インターネットから直接誘発されると決めつけるべきではありませんが、影響を受ける構成に該当するシステムへの対応を、さらに技術的な詳細が明らかになるまで待つべきでもありません。
修正を適用する前に診断情報を保存する
今回の対応で異例なのは、手順の順番です。
同社のセキュリティ速報でEG Secure Solutionsは、SiteGuardを更新またはパッチ適用すると攻撃の証拠が消去される可能性があると説明しています。対策を行う前に、Web管理画面を使って、次の診断情報をダウンロードして保存します：
Web管理画面 > 診断情報 > 診断情報をダウンロード
このバンドルは、影響を受けたサーバーとは別の場所に保管してください。侵害が疑われる場合は、調査対象のシステム上だけに残すのではなく、組織で通常行っているデジタルフォレンジックおよびインシデント対応の証拠の一部として扱う必要があります。
診断情報を保存した後、組織が利用できる対応策は3つあります。
- Apache、Nginx、またはIISのインストール環境を8.00 Update 5以降に更新する。
- FreeBSDのApacheまたはNginxのインストール環境を7.00 Update 6以降に更新する。
- フルアップグレードができない場合は、ベンダー提供のスタンドアロンパッチを適用する。EG Secure Solutionsによると、このパッチはサポート終了済みのバージョンにも提供されています。
すぐに更新またはパッチ適用を行えない環境について、JPCERT/CCは、統計機能を無効にすればこの脆弱性への曝露を防げるとしています。これは一時的な回避策と捉えるべきであり、脆弱なビルドを無期限に残す理由にしてはいけません。
JPCERT/CCは、悪用がすでに確認されているため、影響を受けたシステムについて侵害調査を検討することも推奨しています。
セキュリティチームが今すべきこと
実際の対応に、攻撃コードや攻撃者に関するさらなる報道を待つ必要はありません。
まずSiteGuard Server Editionのシステムを棚卸しし、次の作業を行います。
- インストールされているバージョンとプラットフォームを確認する。
- 統計機能が有効になっているか確認する。
- インストール環境を変更する前に、診断情報をダウンロードして保存する。
- 影響を受けたシステムを調査し、侵害の兆候を確認する。
- 修正済みリリースにアップグレードするか、ベンダーのパッチを適用する。
- すぐに対策できない場合は、一時的な回避策として統計機能を無効にする。
- 対策後にシステムを再確認し、修正済みバージョンが稼働していることを確認する。
EG Secure Solutionsによると、直接サポート契約を結んでいる顧客には9月29日に脆弱性と対策が通知され、公開アドバイザリは10月14日に公開されました。ベンダーは、悪用がいつ始まったのか、背後にいるのは誰なのか、何台のシステムが侵害されたのかを明らかにしていません。
こうした不明点があっても、直ちに取るべき対応は変わりません。統計機能はデフォルトで有効になっており、悪用は確認済みで、対策そのものによって有用な証拠が消去される可能性があります。まず診断情報を保存し、その後で脆弱な経路を閉じてください。
こちらも読む：GitLabが最近、サーバー乗っ取りの脆弱性を修正しました。CVSSスコアは10.0です。