웹서버와 한 몸인 WAF, SiteGuard Server Edition의 OS 명령 주입(CVE-2026-106931)을 방어자 눈으로 읽기

이미지 출처: CISA KEV

일본 호스팅 업계에서 SiteGuard는 꽤 익숙한 이름임. 국내 공유 호스팅이 기본 보안 옵션을 끼워주는 것처럼, 일본 쪽 서버 상품에는 이 제품이 아예 기본 탑재되어 나오는 경우가 많다 보니 "따로 설치한 기억은 없는데 돌고 있는" 서버도 적지 않을 거라 생각함. 이번에 EG Secure Solutions의 SiteGuard Server Edition에서 OS 명령 주입(OS Command Injection) 취약점이 CVE-2026-106931로 등록됐음. 웹 공격을 걸러야 하는 WAF에서, 그것도 웹서버와 같은 호스트에 붙어 도는 제품에서 명령 주입이 나왔다는 점이 개인적으로는 제일 마음에 걸렸음.

핵심 요약

• SiteGuard Server Edition에서 외부 입력이 검증 없이 OS 명령에 섞여 실행될 수 있는 명령 주입 취약점(CVE-2026-106931)이 공개됨
• 호스트형 WAF라서 성공하면 웹서버가 돌고 있는 그 호스트 자체에 대한 명령 실행으로 바로 이어질 수 있음
• 벤더 패치 적용이 최우선이고, 관리 화면 접근 제한과 WAF 프로세스 자식 프로세스 감시를 함께 걸어두는 것이 현실적인 대응임

1. SiteGuard Server Edition이 어떤 위치에 있는 제품인가

취약점 얘기를 하기 전에 제품 위치부터 짚고 가야 위험도가 잘 보임.

• 호스트형 WAF임. 네트워크 앞단의 별도 장비가 아니라 Apache나 nginx 같은 웹서버에 모듈 형태로 붙어서 요청을 검사하는 구조임
• 시그니처 갱신, 탐지 로그 확인, 정책 설정 등을 위한 웹 기반 관리 화면이 따로 있음
• 즉, WAF 관리 기능에 구멍이 나면 "WAF 장비 하나가 털린다"가 아니라 서비스 중인 웹서버 호스트 그 자체가 영향권에 들어간다는 뜻임

네트워크형 장비는 그래도 분리라도 되어 있지만, 호스트형은 같은 집에 사는 경비원 같은 느낌이라 경비원 방 문이 열리면 집 안까지 바로 이어지는 셈임.

2. OS 명령 주입, 개념 수준으로만 정리

공격 재현용 문자열은 다루지 않고 원리만 짚음.

• 프로그램이 사용자 입력값(파일명, 호스트명, 설정값 등)을 받아서 내부적으로 시스템 명령을 조립해 실행하는 구간이 있음
• 이때 입력값 안의 셸 메타문자를 걸러내지 않거나, 인자를 배열로 넘기지 않고 문자열 하나로 이어 붙이면 입력 일부가 "데이터"가 아니라 "명령"으로 해석됨
• 결과적으로 공격자는 프로그램이 원래 하려던 명령 뒤에 자기 명령을 얹어서, 해당 프로세스 권한으로 실행시킬 수 있음

공개된 정보만으로는 어떤 기능의 어떤 파라미터인지, 인증이 필요한지 여부까지 세세하게 단정하긴 어려움. 다만 이런 류의 버그는 대부분 관리 기능 안의 "서버 쪽에서 뭔가를 실행해주는" 메뉴에서 터지는 경우가 많았던 것 같음. 그래서 아래 대응도 관리 화면 쪽에 무게를 두고 정리했음.

3. 탐지: 로그와 프로세스에서 볼 것

패치 전후 상관없이, 이미 누가 건드렸는지 확인하는 작업은 꼭 해두는 걸 추천함.

• 관리 화면 접근 로그: 평소 관리자가 쓰지 않는 IP, 업무 시간 외 접속, 짧은 시간에 같은 설정 메뉴로 요청이 몰린 흔적을 우선 확인함
• 파라미터 이상값: 관리 화면 요청 중 파일명이나 호스트명이 들어가야 할 자리에 세미콜론, 파이프, 백틱, 달러 기호 괄호 같은 셸 메타문자가 섞여 있는지 확인함
• 부모-자식 프로세스 관계: SiteGuard 관련 프로세스나 웹서버 프로세스 밑으로 sh, bash, curl, wget, python 같은 프로세스가 뜬 기록이 있다면 강하게 의심함. auditd나 EDR이 있다면 이 조합으로 규칙을 하나 만들어두는 게 제일 효과 좋았음
• 파일 변경: 웹 루트, /tmp, cron 디렉터리, 웹서버 사용자의 홈 디렉터리에 최근 생성된 낯선 스크립트나 실행 파일이 없는지 봄
• 외부 통신: 웹서버 호스트에서 평소 없던 외부 IP로의 아웃바운드 연결이 생겼는지 방화벽·넷플로우 로그로 교차 확인함

4. 완화: 오늘 바로 할 수 있는 것

• 벤더 패치 적용이 첫 번째임. EG Secure Solutions 공지와 NVD 항목에서 영향받는 버전을 확인하고, 호스팅 업체가 관리하는 환경이라면 업체 쪽 적용 일정도 같이 문의해두는 게 좋음
• 관리 화면 노출 차단: 관리 포트를 인터넷 전체에 열어둘 이유는 거의 없음. 사무실 고정 IP나 VPN 대역으로만 허용하고, 가능하면 SSH 터널을 통해서만 접근하도록 바꾸는 걸 개인적으로는 추천함
• 관리자 계정 정리: 기본 계정 그대로 쓰고 있는지, 퇴사자 계정이 남아 있는지, 비밀번호가 다른 서비스와 겹치는지 점검함
• 실행 권한 최소화: 관련 프로세스가 불필요하게 root로 도는 구조라면 피해 범위가 훨씬 커짐. 구성상 가능한 범위에서 권한을 줄여둠
• 침해 흔적이 나왔다면: 패치만 하고 끝내지 말고, 해당 호스트의 계정·키·DB 접속 정보까지 교체하는 쪽으로 판단하는 게 안전함

5. 정리하며

WAF를 깔아뒀다는 사실이 오히려 "여긴 안전하겠지" 하는 착시를 만드는 경우가 많은 것 같다. 보안 제품도 결국 소프트웨어고, 관리 기능이 붙어 있는 이상 그 관리 기능 자체가 공격면이 된다는 걸 이번 건으로 다시 느꼈음. 내 서버에 SiteGuard가 깔려 있는지조차 모르는 분들도 있을 테니, 이번 기회에 호스팅 관리 패널부터 한번 열어보는 걸 권해드리고 싶음. 점검하다가 이상한 로그가 보였거나 다른 방식으로 탐지 규칙을 짠 분들은 댓글로 공유해 주세요, 같이 보완해보아요!