趨勢新聞TREND NEWS
資料中心的機櫃走道
示意圖，非 SiteGuard 的主機。Carl Lender 攝，CC BY 2.0，Wikimedia Commons。
資安SiteGuardCISA KEV

日本網站防火牆 SiteGuard 漏洞已遭駭客利用、可被拉到主機最高權限：受影響版本要更新，更新前先存證據；名字相近的 WordPress 外掛不在名單

趨勢新聞2026 年 10 月 28 日

SiteGuard Server Edition 是日本 EG Secure Solutions（EGセキュアソリューションズ）賣的網站防火牆（WAF，幫網站擋掉惡意請求的軟體），直接裝在網站主機上；日本資安應變中心 JPCERT/CC 說它在日本國內廣泛使用。原廠 10 月 14 日公告，這套軟體的「統計功能」有漏洞，而且已確認有人拿來攻擊：攻擊者可能在那台主機上，用作業系統的最高權限（例如 Linux、FreeBSD 的 root，Windows 的 SYSTEM）執行任意指令；本站從評分向量的讀法是，攻擊者得先能在主機上以一般權限動作，才能利用它拉高權限。美國網路安全暨基礎設施安全局（CISA）10 月 20 日把這個漏洞 CVE-2026-106931（CVE 是漏洞的國際編號）列入「已知遭利用漏洞目錄」（KEV）。受影響的，是版本與設定符合下列條件的 Server Edition，受影響不等於已被入侵；WordPress 本身、以及名字很像的 WordPress 外掛，都不在原廠公告的名單上。受影響的，請維運廠商或當初的經銷商更新到 Ver8.00 Update5（FreeBSD 版是 Ver7.00 Update6），更新前先在管理畫面下載「診斷資訊」存起來，原廠說更新可能把攻擊痕跡抹掉。

我會不會受影響？

  • 網站主機上沒有裝 SiteGuard Server Edition，就不受這個漏洞影響。不確定有沒有裝，問架站或維運廠商、主機商。
  • WordPress 站常見的「SiteGuard WP Plugin」是另一個產品，WordPress.org 顯示 60 萬以上個網站啟用；原廠這次公告的影響範圍只列 Server Edition 一個產品，沒有列這個外掛。
  • 有裝的，三個條件都對上才受影響：版本從 Ver2.20 起、早於修補版；平台是 Apache、Nginx、IIS 或 FreeBSD 上的 Apache、Nginx；統計功能開著（預設就開著）。例外是 IIS 版的 Ver3.10 到 Ver4.00 Update4，不受影響。
  • 本站的讀法：在日本有據點、或使用日本主機服務的台灣企業，可以先向維運廠商確認有沒有裝這套產品。

有裝的話，照這四步做

照原廠公告：第一，確認版本、統計功能有沒有開。第二，不論要更新還是套修補程式，動手前先到網頁管理畫面的「診斷資訊」頁，按「下載診斷資訊」，把檔案存好，因為更新可能讓攻擊痕跡消失（原文「攻撃の痕跡が消える可能性があります」）。第三，更新到修補版；升級有困難的，原廠另有替換統計處理檔案的修補程式，已停止支援的舊版也有。第四，有疑問找支援窗口，窗口寫在交貨時給的「契約內容確認書」上，或問當初購買的經銷商，也可以找 JPCERT/CC。有直接支援合約的客戶，原廠 9 月 29 日已個別通知過。

來不及更新的，JPCERT/CC 寫，把統計功能關掉可以避開這個漏洞，步驟要看原廠的最新資訊；本站讀到的原廠公告沒有列出關閉步驟。本站的讀法：修補完成，不代表先前若被入侵、影響就已排除，所以 JPCERT/CC 另外建議做入侵調查，存下來的診斷資訊可以當調查參考。

技術細節與時間線

漏洞類型是 OS 指令注入（程式沒有妥善處理不可信的輸入，讓攻擊者插入並執行原本不該執行的作業系統指令）。原廠與日本漏洞資訊入口 JVN 給的 CVSS（漏洞嚴重度評分，滿分 10）4.0 基本分數是 8.5、3.0 是 7.8，攻擊途徑標為本機、需要低權限、不需使用者互動。本站的讀法：攻擊者要先能在那台主機上以一般權限動作，漏洞讓他把權限拉到最高；他怎麼取得這個起點、利用從哪天開始、打了多少台、是誰在打，原廠、JVN 與 JPCERT/CC 的公告都沒有寫。

時間線：原廠 9 月 29 日先通知直接合約客戶；CVE 編號 10 月 7 日由 JPCERT/CC 保留；10 月 14 日原廠、JVN（JVN#88474777）與 JPCERT/CC 資安警示（JPCERT-AT-2026-0032）同日公開，JVN 記載是原廠自己向日本資訊處理推進機構（IPA）通報；6 天後列入 KEV，是 CISA 當天新增的 6 筆之一。

KEV 的處理期限依 CISA 的約束性作業指令（BOD，對聯邦機關有強制力的資安命令）26-04 訂定，只約束美國聯邦文職行政部門機關，對其他組織只是鼓勵。這筆期限是 10 月 23 日，從列入到期限 3 天，並要求做鑑識初判，適用的聯邦機關要依 CISA 的實施指引辦理（本站 10 月 18 日整理過 BOD 26-04 的時程表，6 月 10 日到 10 月 16 日新增的 131 筆中有 108 筆是 3 天）。勒索軟體欄寫「未知」。CVE 紀錄裡 CISA 10 月 20 日的 SSVC 評估（CISA 判斷處理優先順序的欄位），利用狀態「active」（已有實際利用）、可自動化「no」、技術影響「total」（可完全控制）。

原文 EG Secure Solutions 公告〈SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)〉（2026-10-14），受影響版本、統計功能預設開啟、修補版、修補程式、9 月 29 日先行通知、診斷資訊的下載位置與聯絡窗口取自此頁； JVN#88474777（日文）與英文版（2026-10-14），產品性質、CVSS 向量與通報經過取自此處； JPCERT/CC 資安警示 JPCERT-AT-2026-0032（2026-10-14），國內廣泛使用、入侵調查建議與停用統計功能的迴避方式取自此頁； CISA 警示〈CISA Adds Six Known Exploited Vulnerabilities to Catalog〉（2026-10-20），同批 6 筆與 BOD 26-04 只適用聯邦文職行政部門機關的說明取自此頁； WordPress.org 外掛頁〈SiteGuard WP Plugin〉，供讀者查對；啟用網站數取自本站 2026-10-28 查詢的 WordPress.org plugin API（active_installs 為 600000）； KEV 條目 CVE-2026-106931，列入日期、處理期限、鑑識欄與勒索軟體欄取自 CISA 的 KEV JSON 資料檔（版本 2026.10.26）； BOD 26-04 指令本文，供讀者查對； CVE-2026-106931 紀錄與 NVD 頁面，編號保留與公開日、CISA 評估欄取自此處。