安全指南

#漏洞 #CVE-2026-106931 #SiteGuard #WAF #EG Secure Solutions #服务器 #部署

SiteGuard Server Edition 漏洞 CVE-2026-106931 已被利用：哪些用户受影响，该怎么做

SiteGuard Server Edition 是日本国产的主机型 WAF，JPCERT/CC 称其在日本被广泛使用。其统计功能存在已被利用的操作系统命令注入漏洞（CVE-2026-106931）。本文说明受影响版本、统计功能的确认方法、更新前保存诊断数据，以及不受影响的范围。

发布于 2026-10-24 更新于 2026-10-24 最后核实 2026-10-24 4 分钟阅读

本页目录

适用对象：在自己的服务器或 VPS 上运行 SiteGuard Server Edition 的管理员。SiteGuard Server Edition 是日本国产的主机型 Web 应用防火墙（WAF：内置于 Web 服务器、用于拦截针对 Web 应用的攻击的软件）。本页依据厂商公告、JVN、JPCERT/CC 和 CISA 的公开数据编写，不涉及攻击的具体原理。

进展中：随着更多信息发布，本页将持续更新

截至 2026 年 10 月 24 日 11:00 UTC

尚不清楚

利用从何时开始，幕后是谁
有多少组织受到影响
Server Edition 以外的 SiteGuard Lite 等产品是否受影响
如何关闭统计功能（厂商公告中未说明）

厂商于 10 月 14 日发布公告，JVN 和 JPCERT/CC 于同日发布相关条目。CISA 于 10 月 20 日将该漏洞列入 KEV。它们都没有说明利用从何时开始、幕后是谁，以及有多少受害者。公告更新后，本页也将更新。

今天要做什么（如果您运行 Server Edition）

确认版本类型、版本号和统计功能

确认您运行的版本类型（Apache、Nginx、IIS，或 FreeBSD Apache、Nginx）及其版本号，再对照下表判断是否受影响。同时确认统计功能是否启用。厂商称该功能默认启用。如果您从未更改过，请按已启用处理。

更新前下载并保存诊断数据

厂商称，应用更新或补丁可能会抹除攻击痕迹。请在 Web 管理界面中打开“診断情報（诊断信息）”，执行“診断情報をダウンロード（下载诊断信息）”（名称取自厂商的日文公告），并把副本保存到服务器之外。如果您在多台服务器上运行该产品，请在每台上都这样做。

升级到修复版本

该漏洞已在 Apache、Nginx 和 IIS 版（不含 FreeBSD）的 Ver8.00 Update5 中修复，在 FreeBSD Apache 和 Nginx 版的 Ver7.00 Update6 中修复。

无法升级时，应用补丁

对于难以升级的客户，厂商提供替换统计处理所用文件的补丁，已终止支持的版本也在适用范围内。请联系您的支持渠道（见合同确认文件，或您购买产品的经销商）。

两者都无法立即完成时，关闭统计功能

JPCERT/CC 称，关闭统计功能可规避该问题。具体步骤请查看厂商的最新信息。关闭统计功能不能代替应用修复版本或补丁（本站建议）。

检查是否有被入侵的迹象

利用从何时开始尚未公布。请检查已保存的诊断数据和服务器日志，查看是否有不认识的进程、文件、账户或对外连接。我们的指南如何检查您的网站或服务器是否被入侵对此有详细说明。如发现异常，请联系厂商的支持窗口或 JPCERT/CC。

您受影响吗？速查表

您运行的版本	是否受影响？（厂商公告）	目标版本
Apache、Nginx、IIS 版：Ver2.20 及以后，Ver8.00 Update5 之前	是，如果启用了统计功能	Ver8.00 Update5
FreeBSD Apache、Nginx 版：Ver2.20 及以后，Ver7.00 Update6 之前	是，如果启用了统计功能	Ver7.00 Update6
IIS 版：Ver3.10 至 Ver4.00 Update4	不受影响	未说明
Ver2.20 之前	公告所述受影响范围为 Ver2.20 及以后	未说明
统计功能已关闭	仅在启用统计功能时受影响	仍建议应用修复（本站观点）
已终止支持的版本	在范围内则受影响	补丁（涵盖已终止支持的版本）
SiteGuard Lite 及其他产品	厂商、JVN 和 JPCERT/CC 均未提及	请查看服务商的通知（例如您的托管服务商）

Ver2.20 之前的版本和已终止支持的版本，除本漏洞外可能还缺少其他修复。即使不在本漏洞的范围内，也请考虑迁移到仍受支持的版本（本站观点）。

1. 版本类型

Apache、Nginx、IIS / FreeBSD

2. 版本号

Ver2.20 及以后，修复版本之前

3. 统计功能

开启则受影响（默认开启）

是否受影响取决于三点：版本类型、版本号和统计功能。统计功能默认开启。

披露的内容（厂商公告）

SiteGuard Server Edition 中的操作系统命令注入（2026 年 10 月 14 日）

CVE: CVE-2026-106931（JVN#88474777）
类型: 统计功能中的操作系统命令注入（CWE-78）
严重程度: CVSS v3.0 7.8，v4.0 8.5（厂商评级）。攻击向量为本地，所需权限为低，无需用户交互
影响: 可能以 root 或 SYSTEM 权限在运行该产品的服务器上执行任意操作系统命令
受影响版本: 启用统计功能的 Ver2.20 及以后：Ver8.00 Update5 之前的 Apache、Nginx 和 IIS 版；Ver7.00 Update6 之前的 FreeBSD Apache 和 Nginx 版
不受影响: IIS 版 Ver3.10 至 Ver4.00 Update4
修复: 升级到修复版本，或应用替换统计处理文件的补丁（包括已终止支持的版本）
利用情况: 厂商称已确认存在利用
事先通知: 2026 年 9 月 29 日已单独通知签有支持合同的客户

已被利用

厂商在披露时确认

root / SYSTEM

被利用时命令运行所用的权限

3 天

从 CISA 列入 KEV（10 月 20 日）到截止日期（10 月 23 日）

默认开启

该漏洞所依赖的统计功能

据 JVN 称，该问题由厂商自己向 IPA 报告，并由 JPCERT/CC 进行协调。JPCERT/CC 称已确认该产品在日本被广泛使用，并请用户在采取应对措施的同时，考虑调查是否已被入侵。

CISA 于 10 月 20 日将 CVE-2026-106931 列入 KEV，并将美国联邦机构的截止日期定为 10 月 23 日。KEV 条目标注其需要取证分流（forensic triage）。已知勒索软件活动利用情况列为“Unknown（未知）”。

如何理解“本地、低权限”的评级

厂商的 CVSS 评级为本地攻击向量（AV:L）、所需权限为低（PR:L）。这不是说任何人都能直接从互联网利用该漏洞。这一评分假设攻击者在服务器上已有某种低级别的访问权限（本站理解）。CISA 的 KEV 说明只写了“攻击者”，没有提到这一条件。

虽有前提条件，但利用已经发生

厂商已确认存在利用。厂商没有说明攻击者是如何获得所需访问权限的。我们建议不要因为这一带条件的评级而降低优先级。

本站认为，这类漏洞可能让通过其他 Web 应用缺陷或泄露账户获得的普通访问权限，变成对整台服务器的管理员控制。安装 WAF 是为了保护 Web 应用；如果 WAF 本身成为获取管理员权限的途径，这一前提就不再成立。

有风险的做法

安装 WAF 后从不检查它自身的版本
不清楚是否使用统计功能，就一直保持默认开启
不保存任何痕迹就直接更新
不审查服务器的一般账户和 Web 应用的权限

能限制损失的做法

把 WAF 与其他软件纳入同一套更新流程
关闭不使用的功能
更新前保存诊断数据和日志，然后检查是否有痕迹
把服务器账户和 Web 应用的权限控制在最低限度

关于如何为 KEV 中的漏洞排定优先级，请参阅用 CVSS、EPSS 和 KEV 决定先修补什么。只按 CVSS 分数排序，可能会把已被利用的漏洞排到后面。

如果您使用 SiteGuard Lite 或其他产品

厂商公告、JVN 和 JPCERT/CC 的警示都针对 SiteGuard Server Edition，都没有提到 SiteGuard Lite 或其他产品。本站未找到能确定 Lite 是否受影响的官方信息。

如果您把该 WAF 作为托管套餐的功能使用，WAF 的更新通常由服务商负责。请查看服务商的通知或支持页面，了解其如何处理该漏洞。关于服务商出现问题时客户该怎么做，请参阅当您的虚拟主机服务商遭到入侵时。

项目	状态
正在被利用	已确认（厂商、CISA）
利用从何时开始，幕后是谁	未说明
受影响组织的数量	未说明
公开的利用代码	未提及（公告和 KEV）
SiteGuard Lite 及其他产品	未提及
关闭统计功能的步骤	厂商公告中没有（JPCERT/CC 指向厂商的最新信息）

信息来源

EG Secure Solutions，关于 SiteGuard Server Edition 操作系统命令注入漏洞的公告（日文，2026 年 10 月 14 日）— eg-secure.co.jp
JVN，“JVN#88474777：SiteGuard Server Edition 中的操作系统命令注入漏洞”（日文，2026 年 10 月 14 日）— jvn.jp
JPCERT/CC，关于 SiteGuard Server Edition 中 CVE-2026-106931 的警示（JPCERT-AT-2026-0032，日文，2026 年 10 月 14 日）— jpcert.or.jp
CISA，已知被利用漏洞目录（CVE-2026-106931）— cisa.gov

更新记录

2026-10-24：初版，依据厂商公告、JVN、JPCERT/CC 的警示和 CISA 的 KEV 目录编写。

FAQ

Q发生了什么？

2026 年 10 月 14 日，EG Secure Solutions 披露了 CVE-2026-106931。这是主机型 Web 应用防火墙（WAF）SiteGuard Server Edition 统计功能中的操作系统命令注入漏洞。厂商称已确认存在利用。利用该漏洞，可能以 root 或 SYSTEM 权限在运行该产品的服务器上执行任意操作系统命令。CISA 于 10 月 20 日将其列入已知被利用漏洞（KEV）目录。

Q我受影响吗？

如果您运行的是 Ver2.20 或更高版本，并且启用了统计功能（默认即为启用），则受影响。受影响的是 Ver8.00 Update5 之前的 Apache、Nginx 和 IIS 版，以及 Ver7.00 Update6 之前的 FreeBSD Apache 和 Nginx 版。IIS 版 Ver3.10 至 Ver4.00 Update4 不受影响。

QCVSS 攻击向量是本地，可以先放一放吗？

不可以。厂商的 CVSS 评分（AV:L、PR:L）假设攻击者在服务器上已有低权限，但已确认存在利用。攻击成功后以 root 或 SYSTEM 权限运行，因此可能把通过其他途径获得的立足点变成对整台服务器的完全控制（本站观点）。

Q更新之前需要做什么吗？

需要。厂商称，应用更新或补丁可能会抹除攻击痕迹。应用之前，请先从 Web 管理界面下载并保存诊断数据（“診断情報 / 诊断信息”菜单，然后点击“診断情報をダウンロード / 下载诊断信息”；名称取自日文公告）。

Q如果无法立即更新怎么办？

对于难以升级的客户，厂商提供替换统计处理所用文件的补丁，已终止支持的版本也包括在内。JPCERT/CC 称，关闭统计功能可规避该问题。关闭方法请查看厂商的最新信息。

Q我们通过托管服务商使用 SiteGuard Lite，受影响吗？

厂商公告、JVN 和 JPCERT/CC 的警示都只针对 SiteGuard Server Edition，没有提到 SiteGuard Lite。本站未找到能确定 Lite 是否受影响的官方信息。如果您把它作为托管套餐的功能使用，请查看服务商的通知。