CVE-2026-106931: EG Secure Solutions SiteGuard Server Edition OS Command Injection Vulnerability

BleepingComputerによると引用されたSiteGuardの警告は、この脆弱性について「SiteGuard Server EditionStatistics機能で発見されている」[1]と述べており、「既に悪用が確認されている。」[1]Security Affairsによると、SiteGuardは日本製のウェブアプリケーションファイアウォール（WAF）で、それが保護するウェブサーバー上で直接実行される[2]。Cyber Kendraは、Statistics機能がデフォルトで有効になっている[3]と報告している。Security AffairsはベンダーとJVNがこの脆弱性をCVSS 4.0スコア8.5およびCVSS 3.0スコア7.8と評価した[2]と述べている。またこの脆弱性を悪用するには、攻撃者はローカルアクセスと低レベルの権限が必要である。[2]ベンダーはBleepingComputerに対し、影響を受けるバージョンはApache httpd、Nginx、およびIIS（FreeBSDを除く）バージョン2.20以降8.00 Update 5より前のバージョン[1]およびFreeBSD上のApache httpdおよびNginxバージョン2.20以降7.00 Update 6より前のバージョン[1]であると述べた。JPCERT/CCはIIS版3.10～4.00 Update 4（含む）は影響を受けない[1]と指摘している。Security Affairsによると、ベンダーの勧告は顧客に対し、更新する前に「「診断情報」をダウンロードして保存する（これにより攻撃の痕跡が消去される可能性があるため）」[2]ように指示している。eSecurity Planetは直接サポート契約を持つ顧客には9月29日に脆弱性と対策について通知され、公開勧告は10月14日に到着した[4]と報告している。またベンダーは悪用がいつ始まったのか、誰がそれを行っているのか、または何台のシステムが侵害されたのかを開示していない。[4]