加入 TWISA
選單

已遭利用2026 年 10 月 22 日（四）

SiteGuard本機提權漏洞遭利用：保全證據、修補並調查侵害

CVE-2026-106931 已確認遭實際利用，官方 CVSS v4.0 為 8.5。日本據點、主機代管與委外網站若使用 SiteGuard Server Edition，應檢查統計功能及內部主機，保全紀錄後更新。

下載 PDF回資安告警
01

內文

日本 JVN／JPCERT 已確認，SiteGuard Server Edition 的 CVE-2026-106931 已遭實際利用。官方 CVSS v4.0 為 8.5，同時列出的 v3.0 為 7.8。SiteGuard是整合在網頁伺服器內的主機式WAF。

這項漏洞於 10/14 公開。JPCERT 指出產品在日本國內廣泛使用。企業若在內部、主機代管或委外維運環境使用這套產品，應逐一核對版本與統計功能。

風險情境：外圍防護軟體也可能成為內部提權環節

風險不只在網站入口。企業可能已修補應用程式，卻遺漏安裝在同一台主機上的 WAF；委外主機也可能由不同團隊維護。SiteGuard 統計功能預設啟用，符合受影響條件的內網與對外主機都應盤點。

攻擊流程SiteGuard：主機內的低權限如何被提升
  1. 01

    先有低權限能力

    已能在主機執行，且受影響統計功能啟用

  2. 02

    統計功能命令注入

    利用主機式 WAF 統計處理的缺陷

  3. 03

    提升最高權限

    可能以 root 或 SYSTEM 執行任意指令

  4. 04

    主機與資料風險

    可能竄改網站、存取資料或繼續橫向活動

這是主機內的提權環節，初始入侵途徑須透過事件調查釐清。

行動建議：從外部邊界查到內部核心

應變流程先保存證據，再修補並調查侵害
  1. 01

    保全證據

    保存 Diagnostic Information 與主機、WAF 日誌

    查看處理指引1項資源

    應對方式與指引

    保全證據

    保存 Diagnostic Information 與主機、WAF 日誌

  2. 02

    調查與隔離

    評估異常程序、帳號、外連及必要隔離

    看看能怎麼應對2項資源

    TWISA 會員方案

    調查與隔離

    先保全受影響主機的診斷資訊與日誌，再調查低權限入侵來源、提權後活動及受害範圍。

  3. 03

    更新與緩解

    保全後更新；暫時可依原廠說明停用統計功能

    查看處理指引2項資源

    應對方式與指引

    更新與緩解

    保全後更新；暫時可依原廠說明停用統計功能

  4. 04

    主動複驗與復原

    修補後驗證主機權限、業務及入口防護

    看看能怎麼應對2項資源

    TWISA 會員方案

    主動複驗與復原

    先保全受影響主機的診斷資訊與日誌，再調查低權限入侵來源、提權後活動及受害範圍。

更新可能清除調查線索；完成升級仍須繼續調查入侵。

應變流程主動複驗：核對本機修補與侵害範圍
  1. 01

    逐機核對

    查SiteGuard版本、OS與統計功能，包含內部及委外主機

    看看能怎麼應對2項資源

    TWISA 會員方案

    逐機核對

    彙整主機與修補清冊，逐機核對SiteGuard版本、作業系統及統計功能設定。

  2. 02

    確認修補生效

    核對更新或原廠修補檔，檢查服務與統計設定

    查看處理指引2項資源

    應對方式與指引

    確認修補生效

    核對更新或原廠修補檔，檢查服務與統計設定

  3. 03

    追查主機行為

    檢查可疑程序、帳號、排程、WebShell與外連

    看看能怎麼應對3項資源

    TWISA 會員方案

    追查主機行為

    SentinelOne Singularity、FortiEDR與NeithSeeker在支援的Windows／Linux主機偵測惡意執行與可疑外連，提供阻斷及端點隔離。已有入侵跡象時先保全診斷資訊與紀錄，再依調查結果隔離。

  4. 04

    復原與複查

    確認初始入口及提權後影響，再恢復服務與追蹤

    看看能怎麼應對2項資源

    TWISA 會員方案

    復原與複查

    先保全受影響主機的診斷資訊與日誌，再調查低權限入侵來源、提權後活動及受害範圍。

本案是先有本機低權限、再利用統計功能提權；應檢查本機修補與侵害，另查最初入侵入口。

防禦架構SiteGuard主機：追查入口、阻斷提權與控制影響

盤點內外部與委外主機，核對SiteGuard版本、OS及統計功能

業務連線依授權放行，各層分別落實防護

  1. 01

    外部與維運入口

    網站、遠端維運與可登入來源

    追查初始入口核對誰能存取主機，追查低權限帳號最初如何被取得

  2. 02

    低權限帳號與程序

    Web服務、登入帳號、排程與可疑程序

    看看能怎麼應對3項資源

    TWISA 會員方案

    低權限帳號與程序

    SentinelOne Singularity、FortiEDR與NeithSeeker在支援的Windows／Linux主機偵測惡意執行與可疑外連，提供阻斷及端點隔離。已有入侵跡象時先保全診斷資訊與紀錄，再依調查結果隔離。

    保全並限制惡意活動保存程序及帳號活動，阻斷可疑執行與外連，依事件調查安排端點隔離

  3. 03

    SiteGuard統計處理

    受影響版本且統計功能啟用

    查看處理指引2項資源

    應對方式與指引

    SiteGuard統計處理

    先保全證據，再更新或套用修補檔；依指引停用統計功能

    原廠修補先保全證據，再更新或套用修補檔；依指引停用統計功能

  4. 04

    核心與憑證

    提權後可能存取的資料、金鑰與相連系統

    看看能怎麼應對1項資源

    TWISA 會員方案

    核心與憑證

    眾至INF系列將SiteGuard網站主機與核心網段分隔，只放行必要服務連線，降低主機取得高權限後的橫向存取範圍。

    分段隔離並回收憑證限制網站主機連入核心系統，調查資料與金鑰存取，撤銷外洩憑證及持續存取路徑

各層日誌與流量，送往監控與應變流程

  1. 先保存取得診斷資訊與既有主機日誌
    查看處理指引1項資源

    應對方式與指引

    先保存

    取得診斷資訊與既有主機日誌

  2. 查程序與帳號關聯可疑指令、排程、登入及外連
  3. 調查侵害還原低權限到提權後的活動與受害範圍
    看看能怎麼應對2項資源

    TWISA 會員方案

    調查侵害

    先保全受影響主機的診斷資訊與日誌，再調查低權限入侵來源、提權後活動及受害範圍。

  4. 復原複驗核對修補生效、後門清除與業務恢復

外部請求防護與此本機提權是不同控制點；SiteGuard依原廠更新，已有入侵跡象時另做侵害調查。

查看受影響版本與更新版本
  • 盤點 SiteGuard Server Edition Ver2.20 起的部署，確認統計功能是否啟用。IIS 的 Ver3.10 至 Ver4.00 Update 4 為官方列出的不受影響區間，不能只以產品名稱判定。
  • Apache／Nginx／IIS 更新至 8.00 Update 5；FreeBSD 的 Apache／Nginx 更新至 7.00 Update 6，或依原廠後續安全版處理。
JVN／JPCERT 原始通報

需要協助？認識相關會員服務

歡迎洽詢各會員，取得更詳細的產品與服務介紹及說明。

先處理侵害：證物保全與調查
主機行為與修補清冊
TWISA 會員方案：緩解風險與保護核心資料

  • 隔開網站與核心系統

    眾至INF系列將SiteGuard網站主機與核心網段分隔，只放行必要服務連線，降低主機取得高權限後的橫向存取範圍。

通報更新日期：2026/10/24。產品支援與修補狀態以原廠最新資料為準。