Web 应用防火墙本该是最后一道闸门，这次却成了入口。10 月 14 日，日本 EG Secure Solutions 发布紧急公告，确认 SiteGuard Server Edition 统计功能存在命令注入漏洞 CVE-2026-106931，且已被实际利用；利用者可在 WAF 上以 root 或 SYSTEM 权限执行任意命令。
事件概述
SiteGuard Server Edition 是主机型 WAF，以模块或反向代理形式部署在 Apache httpd、Nginx、IIS 之前，另有 FreeBSD 版本，在日本及部分海外托管环境有稳定装机量。JVN 于 10 月 14 日发布 JVN#88474777，将该漏洞标为 Critical，JPCERT/CC 同步发布 JPCERT-AT-2026-0032 通报。
受影响范围为 Ver2.20 及以后版本：Apache、Nginx、IIS 版在 Ver8.00 Update 5 之前，FreeBSD 的 Apache、Nginx 版在 Ver7.00 Update 6 之前；IIS 版 Ver3.10 至 Ver4.00 Update 4 不受影响。触发前提是统计功能处于开启状态，而该功能默认开启。厂商表示已于 9 月 29 日向签约支持客户逐一发出通知。
技术细节
缺陷归类为 CWE-78 操作系统命令注入，位于统计功能的数据处理环节：程序把外部可控内容拼进 shell 命令，未做参数隔离，攻击者因此能在 WAF 自身进程权限之外执行系统命令。JVN 给出的评分为 CVSS 4.0 8.5、CVSS 3.0 7.8，向量 AV:L/AC:L/PR:L/UI:N，即需要先在设备上取得低权限访问能力，无需用户交互。
这个本地、低权限的前提容易被低估。WAF 管理面通常和业务系统同机部署，运维习惯把管理界面暴露在公网、多人共用口令或沿用初始账号；一旦拿到任意一个可登录账号，统计功能就把提权路径铺到操作系统层。厂商特意提醒：升级前必须先下载“诊断信息”留存取证包，因为补丁会替换统计处理所用文件，痕迹可能随之消失。
影响评估
WAF 位于流量入口，root 或 SYSTEM 权限失守意味着整台服务器沦陷，而同一台机器上往往还跑着它保护的站点与数据库。攻击者可读取规则与访问日志、篡改放行策略、植入 WebShell，也可在补丁窗口前长期潜伏。厂商为包括 EOL 版本在内的旧版本提供替换文件的补丁，说明大量旧版本仍在生产环境服役。
边界设备一处命令注入，往往直接等于内网跳板，而不只是单站失守。
修复建议
先取证，再升级，顺序不要颠倒。官方修复版本为：
- Apache、Nginx、IIS 版（FreeBSD 除外）：Ver8.00 Update 5 及以上；
- FreeBSD 的 Apache、Nginx 版：Ver7.00 Update 6 及以上。
无法升级的，向厂商索取替换统计处理文件的补丁，EOL 版本同样可申请；若统计报表并非必需，关闭该功能可消除这条攻击面。管理面加固同期完成：
- 管理界面仅允许内网或固定 IP 访问，禁止对公网开放；
- 更换初始口令与共用账号，按人分配账号并启用二次验证；
- 核查近 30 天统计页面访问日志、异常子进程、计划任务与新增文件；
- 确认 WAF 服务账户不是域账号，避免横向扩散。
ps -eo pid,ppid,user,cmd --sort=start_time | tail -30已经对外暴露管理面的设备，即使补丁已打，也建议按“可能已被入侵”处理：轮换 WAF 管理凭据、审计规则变更记录、比对配置文件哈希。