SiteGuard Server Edition に悪用済みの脆弱性。更新前に診断情報を保存し、修正版へ
- 3分で読める
- 一次資料3件
- セキュリティ図鑑編集部
CVSS v3.0 の基本値
JVNの深刻度は「緊急」開発元が一般に公表
悪用を確認保守契約の顧客に個別連絡
一般公表の前SUMMARY
要点をまとめると
- 01
EGセキュアソリューションズは2026年10月14日、WAF「SiteGuard Server Edition」の統計機能に、root（SYSTEM）権限でOSコマンドを実行される脆弱性（CVE-2026-106931）があり、悪用を確認したと公表しました。
- 02
使っている会社は、更新の前に診断情報を保存し、修正版への更新かパッチの適用を急いでください。
この記事をスライドで理解する（7枚）
1 / 7Webサーバーに入れて使うWAF「SiteGuard Server Edition」に、任意のOSコマンドを実行される脆弱性（CVE-2026-106931）が見つかりました。開発元のEGセキュアソリューションズは2026年10月14日に公表し、「すでに悪用が確認されています」としています。同じ日にJPCERT/CCも注意喚起を出しました。悪用されると、製品が動いているサーバー上で、rootまたはSYSTEM権限でコマンドを実行されるおそれがあります。
01発表されている事実
SiteGuardにどんな穴があったの？
初期設定で有効な統計機能の中の脆弱性です。JVNの深刻度は「緊急」で、開発元が悪用を確認しています。
保守契約のある顧客に個別に連絡
悪用を確認。JPCERT/CCが注意喚起、JVNが JVN#88474777 を公開
EGセキュアソリューションズが、保守契約のある顧客に個別に連絡
EGセキュアソリューションズが一般に公表。JPCERT/CCが注意喚起、JVNが JVN#88474777 を公開
脆弱性は統計機能の中にあります。統計機能は初期設定で有効です。JVNの深刻度は「緊急」、CVSS v3.0 の基本値は7.8です。
| 項目 | 出典の記載 |
|---|---|
| 影響するバージョン | Ver2.20 以降で、統計機能が有効なもの。Apache版・Nginx版・IIS版は Ver8.00 Update5 より前、FreeBSD の Apache版・Nginx版は Ver7.00 Update6 より前。IIS版の Ver3.10〜Ver4.00 Update4 は影響なし |
| 直したバージョン | Apache版・Nginx版・IIS版：Ver8.00 Update5（FreeBSDを除く）／FreeBSD の Apache版・Nginx版：Ver7.00 Update6 |
| 回避策 | 更新が難しい場合は、統計処理の対象ファイルを差し替えるパッチ（サポート終了版向けも提供）。JPCERT/CCは、統計機能を無効にすれば影響を回避できるとしています（手順は開発元の情報を参照） |
| 悪用の有無 | あり（開発元が悪用を確認） |
02影響を受ける人
うちは関係ある？
SiteGuard Server Editionを入れている会社です。レンタルサーバーの付属機能の場合もあります。クラウド型は対象に挙がっていません。
自社のWebサーバーに入れている会社。ホスティングの付属機能の場合も
クラウド型は今回の発表の対象として挙がっていない
WAF自体に穴があると、サーバーごと乗っ取られるおそれ
自社のWebサーバーに SiteGuard Server Edition を入れている会社です。レンタルサーバーやホスティングの付属機能として使っている場合もあります。クラウド型の「SiteGuard Cloud Edition」は、今回の発表の対象として挙がっていません。
WAFはWebサイトを守るために入れるものですが、そのWAF自体に穴があると、サーバーごと乗っ取られるおそれがあります。管理者権限でコマンドを実行されると、サイトの書き換えや、サーバー内の個人情報の持ち出しにつながります。
03今すぐやること
じゃあ何から始めればいい？
まず使っているか版を確かめます。更新で痕跡が消えるおそれがあるので、診断情報を保存してから修正版に更新してください。
サーバー担当者や保守会社に、製品の有無と版を聞く
更新で痕跡が消えるおそれ。［診断情報をダウンロード］で保存
すぐ更新できなければパッチか統計機能の無効化を検討
不審な点があれば事故対応・フォレンジックの会社に相談
- 使っているか、バージョンを確かめる。サーバー担当者や保守会社に、SiteGuard Server Edition の有無と版を聞いてください。ホスティング会社が入れている場合は、その会社の案内を確認します。
- 更新の前に診断情報を保存する。開発元は、更新やパッチの適用で攻撃の痕跡が消えるおそれがあるとしています。Web管理画面の［診断情報］→［診断情報をダウンロード］で保存してから作業してください。
- 修正版に更新するか、パッチを当てる。すぐに更新できない場合は、パッチの適用か統計機能の無効化を検討します。
- 侵害の調査を検討する。JPCERT/CCは侵害調査の実施も勧めています。不審な点があれば、事故対応・フォレンジックを頼める会社に相談してください。
04同じことを防ぐには
次から同じ目にあわないためには？
守るための製品も更新が必要です。保守契約を結び、開発元からの連絡を受けるメールアドレスを最新にしておくと早く知らせを受けられます。
WAFやVPN装置もふつうのソフトと同じく更新が必要
連絡先メールを最新にし、一般公表より前に知らせを受ける
運用が負担なら、更新を事業者が受け持つものも選択肢
WAFやVPN装置のような「守るための製品」も、ふつうのソフトと同じく更新が必要です。保守契約を結び、開発元からの個別連絡を受け取れる窓口（メールアドレス）を最新にしておくと、今回のように一般公表より前に知らせを受けられます。サーバーに入れるWAFの運用が負担なら、更新を事業者が受け持つクラウド型WAFも選択肢です。図鑑の「WAF」の分類で比べられます。
問い合わせ先は、契約内容確認書に書かれたサポート窓口か、購入した販売店です。
NEXT ・ 次に読む
週1回・無料
「今週気をつけること」をメールで受け取るいま悪用されている脆弱性と、出回っている詐欺の手口を、毎週まとめてお届けします。いつでも解除できます。SOLUTIONS同じ被害を防ぐ対策
この記事に関係する対策の種類から、評価の高いサービスを選んでいます。
- 証拠15/35
- 透明さ35/35
- 使いやすさ30/30
- 料金
- 月21,000円〜
- 無料
- 90日体験
- 返金
- —
- 日本語窓口
- 電話
Webサーバに組み込んで使うホスト型の国産WAF。自社でサーバを管理しており、外部サービスに通信を通さずにWAFを入れたい企業に向く。
- 証拠15/35
- 透明さ35/35
- 使いやすさ24/30
- 料金
- 月16,500円〜
- 無料
- 7日体験
- 返金
- —
- 日本語窓口
- フォーム
開発者が自分でWebアプリを検査するクラウド型の診断ツール。月単位で契約でき、リリース前だけ使うといった使い方がしやすく、小規模な開…
- 証拠15/35
- 透明さ35/35
- 使いやすさ24/30
- 料金
- 月25,000円〜
- 無料
- 7日体験
- 返金
- —
- 日本語窓口
- フォーム
国産WAF「SiteGuard」シリーズのクラウド版で、シグネチャの更新や設定を事業者側が行うマネージド型。複数サイトをまとめて守りたい企業…
出典（一次資料）3件被害を受けた組織や公的機関の発表だけを出典にしています（2026.10.30に確認）開く
- 1EGセキュアソリューションズ「SiteGuard Server Edition におけるOSコマンドインジェクションの脆弱性について」 ↗www.eg-secure.co.jp
- 2
- 3JVN#88474777 ↗jvn.jp