テック技報最新号へ →
セキュリティ

悪用済みの脆弱性は「痕跡を保全してから」更新する（SiteGuard Server Edition 事例）

すでに悪用されている脆弱性では、修正版への更新やパッチ適用で攻撃の痕跡が消えることがある。急いで更新する前に、ログや診断情報を取って保管しておく。そうしないと「侵入されていたか」を後から確かめられなくなる。

@MalwareBibleJP · 2026-10-20
#incident-response#forensics#patching#waf#siteguard#command-injection

事例

  • Web サーバーに組み込む WAF「SiteGuard Server Edition」の統計機能に OS コマンドインジェクション（CVE-2026-106931）があり、root / SYSTEM 権限でコマンドを実行されるおそれがある。悪用も確認済み。
  • 対象は Ver2.20 以降で、Apache / Nginx / IIS 版は Ver8.00 Update5 より前、FreeBSD 版は Ver7.00 Update6 より前（IIS 版の Ver3.10〜4.00 Update4 は対象外）。統計機能は初期設定で有効。
  • 開発元と JPCERT/CC は、更新の前にウェブ管理画面の「診断情報」から「診断情報をダウンロード」で痕跡を保全するよう求めている。更新が難しい環境向けには統計処理のファイルを差し替えるパッチがあり、それまでの回避策は統計機能の無効化。

一般化した手順（悪用済み脆弱性の更新時）

  1. 影響を受けるか確認する: バージョンと、脆弱な機能が有効かを確かめる。
  2. 先に保全する: 製品の診断情報、アクセスログ・エラーログ、設定ファイル、関連ディレクトリのファイル一覧と更新日時を取り、サーバーの外に保管する。可能ならディスクのスナップショットも取る。
  3. 更新またはパッチを当てる: すぐにできなければ、脆弱な機能の無効化などの回避策で先に穴を閉じる。
  4. 侵害の調査をする: 保全した情報で、不審なコマンド実行・新しいアカウント・cron・Web シェルなどがないかを確認する（Linux サーバーの居座りを点検する（PHP の auto_prepend_file と .bashrc の偽 sudo、CL-UNK-1211 事例））。
  5. 侵害があれば: 認証情報の入れ替えと、影響範囲の調査に進む。

注意点

  • WAF やセキュリティ製品そのものが攻撃の入口になることがある。「守る側の製品」も通常のソフトと同じように更新を追う。
  • 保全した情報には個人情報や秘密情報が含まれることがあるので、保管先のアクセス権を絞る。

出典

X の元の投稿を開く