EG セキュアソリューションズは、ホスト型 WAF SiteGuard Server Edition の OS コマンドインジェクションの脆弱性 CVE-2026-106931 を公表しました。悪用されると root / SYSTEM 権限で任意の OS コマンドを実行される恐れがあります。同社は悪用を確認しており、JPCERT/CC も10月14日に注意喚起を出しています。
脆弱性は初期設定で有効な統計機能にあります。影響を受けるのは Ver2.20 以降で、Apache 版・Nginx 版・IIS 版の Ver8.00 Update5 より前、FreeBSD Apache/Nginx 版の Ver7.00 Update6 より前です。IIS 版 Ver3.10〜Ver4.00 Update4 は影響を受けません。
同社は、アップデートにより侵害の痕跡が消える可能性があるとしています。先に Web 管理画面から「診断情報」を取得してください。すぐにアップデートできない場合は、統計処理の対象ファイルを置き換えるパッチの適用、または統計機能の無効化が回避策となります。
