대상 독자: 일본산 호스트형 웹 애플리케이션 방화벽(WAF: 웹 서버에 내장되어 웹 애플리케이션에 대한 공격을 차단하는 소프트웨어)인 SiteGuard Server Edition을 자체 서버나 VPS에서 운영하는 관리자. 이 페이지는 벤더 공지, JVN, JPCERT/CC, CISA의 공개 자료를 바탕으로 합니다. 공격 방식은 다루지 않습니다.
진행 중: 새로운 정보가 공개되는 대로 이 페이지를 갱신합니다
2026년 10월 24일 11:00 UTC 기준아직 알려지지 않음
- 악용이 시작된 시점과 배후
- 피해를 입은 조직의 수
- Server Edition 이외의 SiteGuard Lite 등 다른 제품이 영향을 받는지 여부
- 통계 기능을 비활성화하는 방법(벤더 공지에는 설명 없음)
벤더는 10월 14일에 공지를 게시했고, JVN과 JPCERT/CC도 같은 날 게시했습니다. CISA는 10월 20일 이 취약점을 KEV에 추가했습니다. 어느 쪽도 악용이 시작된 시점, 배후, 피해자 수를 밝히지 않았습니다. 공지가 개정되면 이 페이지를 갱신합니다.
오늘 할 일 (Server Edition 사용자)
에디션, 버전, 통계 기능 확인
사용 중인 에디션(Apache, Nginx, IIS, FreeBSD Apache 또는 Nginx)과 버전을 확인하고, 아래 표로 영향 여부를 판단하십시오. 통계 기능이 활성화되어 있는지도 확인하십시오. 벤더에 따르면 기본값은 활성화입니다. 설정을 바꾼 적이 없다면 켜져 있는 것으로 보십시오.
업데이트 전에 진단 정보를 다운로드해 보관
벤더는 업데이트나 패치를 적용하면 공격의 흔적이 지워질 수 있다고 밝혔습니다. 웹 관리 화면에서 診断情報(진단 정보)를 열고 診断情報をダウンロード(진단 정보 다운로드)를 실행한 뒤(벤더의 일본어 공지에 적힌 명칭), 사본을 서버 밖에 보관하십시오. 여러 서버에서 제품을 운영한다면 각 서버에서 실행하십시오.
수정 버전으로 업그레이드
이 취약점은 Apache, Nginx, IIS 에디션(FreeBSD 제외)에서는 Ver8.00 Update5에서, FreeBSD Apache 및 Nginx 에디션에서는 Ver7.00 Update6에서 수정되었습니다.
업그레이드가 어렵다면 패치 적용
업그레이드가 어려운 고객을 위해 벤더는 통계 처리에 사용되는 파일을 교체하는 패치를 제공합니다. 지원 종료 버전도 대상입니다. 지원 담당 창구(계약 확인서에 기재되었거나 구매한 판매점)에 문의하십시오.
둘 다 바로 할 수 없다면 통계 기능 비활성화
JPCERT/CC는 통계 기능을 비활성화하면 문제를 피할 수 있다고 밝혔습니다. 절차는 벤더의 최신 정보를 확인하십시오. 비활성화는 수정 버전이나 패치 적용을 대신할 수 없습니다(이 사이트의 권고).
침해 징후 확인
악용이 시작된 시점은 공개되지 않았습니다. 저장한 진단 정보와 서버 로그에서 모르는 프로세스, 파일, 계정, 외부 연결이 있는지 검토하십시오. 웹사이트나 서버가 해킹당했는지 확인하는 방법 가이드에서 순서를 설명합니다. 이상한 점이 있으면 벤더의 지원 창구 또는 JPCERT/CC에 연락하십시오.
영향을 받나요? 빠른 확인표
| 사용 중인 제품 | 영향 여부 (벤더 공지) | 대상 버전 |
|---|---|---|
| Apache, Nginx, IIS 에디션: Ver2.20 이후, Ver8.00 Update5 이전 | 통계 기능이 활성화된 경우 영향 있음 | Ver8.00 Update5 |
| FreeBSD Apache, Nginx 에디션: Ver2.20 이후, Ver7.00 Update6 이전 | 통계 기능이 활성화된 경우 영향 있음 | Ver7.00 Update6 |
| IIS 에디션: Ver3.10부터 Ver4.00 Update4까지 | 영향 없음 | 명시되지 않음 |
| Ver2.20 이전 | 영향 범위는 Ver2.20 이후로 명시됨 | 명시되지 않음 |
| 통계 기능 비활성화 | 통계 기능이 활성화된 경우에만 영향 있음 | 그래도 수정 적용을 권장(이 사이트의 견해) |
| 지원 종료 버전 | 범위에 해당하면 영향 있음 | 패치(지원 종료 버전 포함) |
| SiteGuard Lite 및 기타 제품 | 벤더, JVN, JPCERT/CC 모두 언급하지 않음 | 호스팅 업체 등 제공 업체의 공지 확인 |
Ver2.20 이전 버전과 지원 종료 버전에는 이 취약점 외의 다른 수정이 적용되지 않았을 수 있습니다. 이 취약점의 범위에서 벗어나더라도 지원되는 버전으로 옮기는 것을 검토하십시오(이 사이트의 견해).
1. 에디션
Apache, Nginx, IIS / FreeBSD
2. 버전
Ver2.20 이후, 수정 버전 이전
3. 통계 기능
켜져 있으면 영향 있음(기본값은 켜짐)
공개된 내용 (벤더 공지)
- CVE
- CVE-2026-106931 (JVN#88474777)
- 유형
- 통계 기능의 OS 명령 인젝션(CWE-78)
- 심각도
- CVSS v3.0 7.8, v4.0 8.5(벤더 평가). 공격 벡터 로컬, 필요 권한 낮음, 사용자 조작 불필요
- 영향
- 제품이 동작하는 서버에서 root 또는 SYSTEM 권한으로 임의의 OS 명령이 실행될 수 있음
- 영향 대상
- 통계 기능이 활성화된 Ver2.20 이후: Ver8.00 Update5 이전의 Apache, Nginx, IIS 에디션, Ver7.00 Update6 이전의 FreeBSD Apache 및 Nginx 에디션
- 영향 없음
- IIS 에디션 Ver3.10부터 Ver4.00 Update4까지
- 수정
- 수정 버전으로 업그레이드하거나, 통계 처리 파일을 교체하는 패치 적용(지원 종료 버전 포함)
- 악용
- 벤더는 악용이 확인되었다고 밝힘
- 사전 안내
- 지원 계약 고객에게는 2026년 9월 29일에 개별 안내함
JVN에 따르면 벤더 자신이 IPA에 이 문제를 신고했고 JPCERT/CC가 조율했습니다. JPCERT/CC는 이 제품이 일본에서 널리 사용되고 있음을 확인했다며, 대책 적용과 함께 침해 여부 조사도 검토해 달라고 요청했습니다.
CISA는 10월 20일 CVE-2026-106931을 KEV에 추가하고 미국 연방 기관의 기한을 10월 23일로 정했습니다. KEV 항목에는 포렌식 트리아지가 필요하다고 표시되어 있습니다. 알려진 랜섬웨어 캠페인에서의 사용 여부는 "Unknown"으로 기재되어 있습니다.
"로컬, 낮은 권한" 평가를 읽는 방법
벤더의 CVSS 평가는 공격 벡터 로컬(AV:L), 필요 권한 낮음(PR:L)입니다. 이는 인터넷에서 누구나 직접 악용할 수 있는 취약점이라는 평가가 아닙니다. 이 점수는 서버에 대한 어느 정도의 낮은 수준의 접근을 전제로 합니다(이 사이트의 해석). CISA의 KEV 설명은 단지 "공격자"라고만 하며 이 조건은 언급하지 않습니다.
조건은 있지만 이미 악용되고 있습니다
벤더는 악용을 확인했습니다. 공격자가 필요한 접근 권한을 어떻게 얻었는지는 밝히지 않았습니다. 조건부 평가를 이유로 우선순위를 낮추지 않기를 권합니다.
이 사이트의 견해로는, 이런 유형의 취약점은 다른 웹 애플리케이션의 결함이나 유출된 계정으로 얻은 일반적인 접근을 서버 전체의 관리자 권한 장악으로 바꿀 수 있습니다. WAF는 웹 애플리케이션을 보호하려고 설치하는 것인데, WAF 자체가 관리자 권한으로 가는 경로가 되면 그 전제가 무너집니다.
위험한 운영 방식
- 설치 후 WAF 자체의 버전을 한 번도 확인하지 않음
- 사용 여부도 모르는 채 통계 기능을 기본값으로 켜 둠
- 흔적을 저장하지 않고 곧바로 업데이트함
- 일반 서버 계정과 웹 애플리케이션 권한을 점검하지 않고 방치함
피해를 줄이는 운영 방식
- WAF도 다른 소프트웨어와 같은 업데이트 절차로 관리
- 사용하지 않는 기능은 끔
- 업데이트 전에 진단 정보와 로그를 저장하고 흔적을 확인
- 서버 계정과 웹 애플리케이션 권한을 최소한으로 유지
KEV에 등재된 취약점의 우선순위를 정하는 방법은 CVSS, EPSS, KEV로 패치 우선순위 정하기를 참고하십시오. CVSS 점수만으로 순위를 매기면 악용 중인 취약점이 뒤로 밀릴 수 있습니다.
SiteGuard Lite 또는 다른 제품을 사용하는 경우
벤더 공지, JVN, JPCERT/CC의 주의 환기는 모두 SiteGuard Server Edition을 대상으로 작성되어 있습니다. 어느 쪽도 SiteGuard Lite나 다른 제품은 언급하지 않습니다. Lite가 영향을 받는지 판단할 수 있는 공식 정보는 이 사이트에서 확인하지 못했습니다.
WAF를 호스팅 요금제의 기능으로 사용 중이라면 보통 WAF 업데이트는 호스팅 업체가 처리합니다. 이 취약점에 어떻게 대응하고 있는지 호스팅 업체의 공지나 지원 페이지를 확인하십시오. 업체에 문제가 생겼을 때 고객이 해야 할 일은 웹 호스팅 업체가 침해당했을 때를 참고하십시오.
아직 알려지지 않은 점
| 항목 | 상태 |
|---|---|
| 실제 악용 | 확인됨(벤더, CISA) |
| 악용 시작 시점, 배후 | 명시되지 않음 |
| 피해 조직 수 | 명시되지 않음 |
| 공개된 익스플로잇 코드 | 언급 없음(공지 및 KEV) |
| SiteGuard Lite 및 기타 제품 | 언급 없음 |
| 통계 기능 비활성화 절차 | 벤더 공지에 없음(JPCERT/CC는 벤더의 최신 정보를 안내) |
일본에서 이 제품을 사용하는 조직의 수와 이름은 공개되지 않았습니다. 이 사이트는 추측으로 특정 조직을 거론하지 않습니다.
출처
- EG Secure Solutions, SiteGuard Server Edition의 OS 명령 인젝션 취약점 관련 공지 (일본어, 2026년 10월 14일) — eg-secure.co.jp
- JVN, "JVN#88474777: SiteGuard Server Edition의 OS 명령 인젝션 취약점" (일본어, 2026년 10월 14일) — jvn.jp
- JPCERT/CC, SiteGuard Server Edition의 CVE-2026-106931 관련 주의 환기 (JPCERT-AT-2026-0032, 일본어, 2026년 10월 14일) — jpcert.or.jp
- CISA, Known Exploited Vulnerabilities Catalog (CVE-2026-106931) — cisa.gov
갱신 이력
2026-10-24: 벤더 공지, JVN, JPCERT/CC의 주의 환기, CISA의 KEV 카탈로그를 바탕으로 한 초판.
함께 읽기
- 수정 우선순위: 패치 우선순위 정하기: CVSS, EPSS, KEV
- 침해 확인: 웹사이트나 서버가 해킹당했는지 확인하는 방법
- 공유 호스팅을 사용 중이라면: 웹 호스팅 업체가 침해당했을 때
- 같은 시기의 또 다른 긴급 취약점: PHP 취약점 CVE-2026-109618 및 CVE-2026-109619
- 용어집: 백도어란? / CVSS란?