SiteGuard WAF统计功能OS命令注入CVE-2026-106931拿root

导语：日本主机型WAF（Web应用防火墙）市占率第一的SiteGuard Server Edition爆出统计功能OS命令注入漏洞CVE-2026-106931，统计模块默认开启，攻击者无需认证就能直接以root或SYSTEM权限在服务器上跑任意命令。厂商9月29日先通知了付费支持客户，10月14日才公开。JPCERT/CC（日本计算机安全事件响应协调中心）当日同步发告警，警告国内影响面广。已经在野利用。

一、漏洞浮出水面

BleepingComputer在10月18日披露了这条消息。漏洞编号CVE-2026-106931，CVSS（通用漏洞评分系统）3.1给到7.8，CVSS 4.0给到8.5（高危），由东京厂商EG Secure Solutions（EGセキュアソリューションズ）官方确认。

EG Secure Solutions是日本本土老牌WAF厂商，2008年由日本知名Web安全专家徳丸浩（Hiroshi Tokumaru）创立，宣称保护超过150万个网站，仅WordPress生态就有50万站点在用。在日本主机型WAF市场是当之无愧的头把交椅。

这次踩坑的不是产品本身的安全性，而是一个默认开启的「统计功能」（statistics feature）——负责收集WAF运行数据。问题出在统计处理逻辑对外部可控字段没有充分过滤，攻击者构造的特定请求能直接把OS命令注入到处理流程里，最终以WAF进程身份执行，进程在Linux上跑root，在Windows IIS上跑SYSTEM。

二、影响范围

EG Secure和JPCERT/CC的官方列表很明确：

Apache版、Nginx版、IIS版（Linux/Windows）：Ver 2.20 到 8.00 Update 5 之前的所有版本
FreeBSD Apache版、Nginx版：Ver 2.20 到 7.00 Update 6 之前的所有版本
例外：IIS 3.10 到 4.00 Update 4 这段历史版本不受影响（统计模块结构不同）

触发条件只有一个：统计功能处于启用状态。默认就是开。

三、红队视角看利用链

站在攻击者角度，这条链漂亮在哪：

无需认证：直接走统计接口，WAF连在前端意味着这个端口是公网开放的。统计接口本来就是为了让WAF自己采集数据，部署位置就在反代后面，不需要登录。
无需特殊权限：低权限请求就能触发，利用面极广。
直接拿WAF进程身份：在Linux上WAF以root运行，IIS上以SYSTEM运行。一发入魂。
植入位置天然隐蔽：WAF服务器的日志不在业务日志目录里，SIEM（安全信息与事件管理平台）/EDR（终端检测与响应）通常不会专门监控WAF自身的进程行为。

实战路径基本就是：互联网打WAF的统计接口 → 注入命令 → WAF进程执行 → 反弹shell到C2（命令与控制服务器） → 横向到后端真实Web服务器 → 持久化。整个渗透的入口被打到WAF自己身上，但目标其实是WAF背后的整个生产网。

JPCERT/CC特意指出，攻击者身份、受害方、规模都还没披露，厂商和CERT都守口如瓶。但「已经在野利用」这句话本身就够说明问题——能在第一时间PoC化（漏洞概念验证）并且大面积扫的，多半是有组织的攻击者或者在售的武器化工具。

四、修复与响应

厂商和JPCERT给的方案分两条：

升级（推荐）：

Linux/Windows Apache、Nginx、IIS：升到 8.00 Update 5
FreeBSD Apache、Nginx：升到 7.00 Update 6

临时方案（不升级也行）：直接在管理控制台关掉统计功能，等于把漏洞入口焊死。代价是统计功能废了，WAF运行数据看不到了。

但这里有个非常容易踩的坑，也是这次响应最关键的一点：

升级前必须先从Web管理界面下载「诊断信息」（Web管理画面 → 診断情報 → ダウンロード），保存到站外隔离位置。因为升级动作本身会覆盖统计处理模块，攻击痕迹会被清掉。JPCERT/CC明确写了这句：「修正を適用した場合、侵害の痕跡が削除される可能性がある」（打补丁可能消除入侵痕迹）。所以保命顺序是：先取证，再升级，再做渗透范围排查。

厂商对停产版本（End of Life）也专门给了一个文件替换补丁，免去大版本升级的痛苦。