日本の WAF 製品「SiteGuard Server Edition」に、深刻度 Critical の OS コマンドインジェクション脆弱性 CVE-2026-106931 があり、開発元と JPCERT/CC が実際の悪用を確認しました。Apache httpd・Nginx・IIS のサーバーに入れるホスト型 WAF を運用している管理者が対象で、成功すると root または SYSTEM 権限で任意のコマンドを実行されるおそれがあります。

主なポイント

  • 問題はデフォルトで有効な「統計機能」にあり、悪用には同機能が有効であることが条件です。開発元は「すでに悪用が確認されている」としています。
  • 影響を受けるのは、Apache httpd / Nginx / IIS 版（FreeBSD 以外）の 2.20 以降 8.00 Update 5 未満と、FreeBSD 上の Apache httpd / Nginx 版の 2.20 以降 7.00 Update 6 未満です。IIS 版の 3.10〜4.00 Update 4 は対象外です。
  • 対策は 8.00 Update 5（FreeBSD 版は 7.00 Update 6）への更新です。更新できない環境向けに、サポート終了版も含めて統計処理のファイルを差し替えるパッチが用意されています。
  • 更新で攻撃の痕跡が消える可能性があるため、作業前に管理画面から「診断情報」をダウンロードして保存するよう開発元は求めています。直接サポート契約のある顧客には 9 月 29 日に先行して通知済みでした。
  • JPCERT/CC も JVN88474777 として注意喚起を出しています。攻撃者や被害の規模は公表されていません。

出典: Hackers exploit SiteGuard WAF flaw to run commands as admins