国産WAF「SiteGuard Server Edition」に緊急の脆弱性、悪用も確認
Webサーバーに組み込んで使うホスト型のWAF（Webアプリケーションファイアウォール）「SiteGuard Server Edition」に、OSコマンドインジェクションの脆弱性（CVE-2026-106931）が見つかりました。開発元のEGセキュアソリューションズが2026年10月14日に公表し、JVN（脆弱性対策情報ポータル）やJPCERT/CCも同日に情報を公開しています。JPCERT/CCは、この製品が国内で広く使われていることを確認したとしています。開発元は「すでに悪用が確認されている」としていて、深刻度はJVNで「緊急」です。
WAFは、Webサイトへの攻撃を防ぐために入れる製品です。その製品自体に穴があったことになるので、自社サイトや、制作・保守を任せているサイトでSiteGuard Server Editionを使っているかどうかを、早めに確かめておく必要があります。
統計機能が有効だと、サーバー上で任意のコマンドが実行されるおそれ
JVNと開発元の情報によると、脆弱性はSiteGuard Server Editionの「統計機能」にあります。この機能は初期設定で有効になっており、悪用されると、製品が動いているサーバー上で、rootまたはSYSTEM権限（管理者の権限）で任意のOSコマンドを実行されるおそれがあります。
- CVE番号: CVE-2026-106931
- 種類: OSコマンドインジェクション（CWE-78）
- CVSS v4.0の基本値: 8.5、CVSS v3.0の基本値: 7.8
- JVNでの深刻度: 緊急
開発元は、サポート契約のある利用者には9月29日に個別に知らせていたとしています。10月14日の公表で、悪用が確認されていることも明らかにしました。
影響を受けるバージョンと、修正済みのバージョン
影響を受けるのは、SiteGuard Server Edition Ver2.20以降で、統計機能が有効なものです。
- Apache版、Nginx版、IIS版: Ver8.00 Update5より前のバージョン
- FreeBSD Apache版、Nginx版: Ver7.00 Update6より前のバージョン
- ただし、IIS版のVer3.10からVer4.00 Update4は影響を受けない
修正済みのバージョンは、Apache版・Nginx版・IIS版がVer8.00 Update5、FreeBSD Apache版・Nginx版がVer7.00 Update6です。バージョンアップが難しい利用者向けに、統計処理の対象ファイルを差し替えるパッチも用意されていて、サポートが終わったバージョンも対象に含まれています。JPCERT/CCは、統計機能を無効にすれば影響を回避できるとしています。
アップデートの前に「診断情報」の保存を
開発元が特に注意を呼びかけているのが、アップデートの順番です。アップデートの前に、製品の「診断情報」をダウンロードして保管するよう求めています。アップデートやパッチを適用すると、攻撃の痕跡が消える可能性があるためです。悪用が確認されている以上、「更新したから終わり」ではなく、すでに攻撃を受けていないかを後から調べられるようにしておくことが大切です。
サイトの運営者や、保守を担当している制作会社が確認したいことは次のとおりです。
- サイトのサーバーにSiteGuard Server Editionが入っているかを確認する（自社で入れていなくても、サーバーの構築を外部に任せている場合は、担当者や保守会社に聞く）
- 入っている場合は、バージョンと統計機能の設定を確認する
- 対象なら、診断情報をダウンロードして保管してから、修正版へのアップデートかパッチの適用を行う。すぐに更新できない場合は、統計機能を無効にして当面の影響を避ける
- 攻撃を受けた疑いがある場合は、保管した診断情報をもとに、必要に応じて開発元やセキュリティの専門家に相談する
今回の対象は、サーバーに組み込むホスト型の「SiteGuard Server Edition」です。製品名をよく確かめてください。
WAFも更新の管理が要るソフトウェアの一つ
今回の件で考えたいのは、セキュリティ製品も「サーバーに入っているソフトウェアの一つ」として更新の管理が必要だという点です。WAFは攻撃を防ぐ側の製品なので、入れたあとは意識されにくく、バージョンや設定の確認が後回しになりがちだと考えます。しかも今回は、初期設定で有効な機能に脆弱性があり、管理者の権限で命令を実行されるおそれがあるため、影響は大きくなりえます。CVSSの基本値は7.8〜8.5で攻撃元区分は「ローカル」ですが、JVNは深刻度を「緊急」としています。数値だけなら後回しにされかねない値でも、悪用が確認されていることが判断を変えた例と言えます。保守の優先順位を決めるときは、スコアの高さより先に「悪用されているか」「初期設定で該当するか」を確かめ、すぐに更新できなければ統計機能を止め、診断情報を保全してから更新する、という順番を担当者と事前に共有しておくのが現実的です。
ホームページの制作を外部に頼んでいる場合は、契約に「公開後のセキュリティ更新」が含まれているか、誰がサーバーのソフトウェアを管理しているかを、この機会に確かめておくことを勧めます。制作会社を選ぶときにも、デザインや料金だけでなく、公開後の保守で脆弱性にどう対応してくれるかを聞いておくと、こうした場面で慌てずに済みます。地域の制作会社を探す場合は、エリア別の制作会社一覧から確認できます。
同じ時期のWeb関連の制度の動きは、デジタル化・AI導入補助金の第7次公募の記事でも紹介しています。
出典
- EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」（2026年10月14日）
- JVN「JVN#88474777: SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性」（2026年10月14日）
- JPCERT/CC「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起」（JPCERT-AT-2026-0032、2026年10月14日）
- Security NEXT『国産WAF「SiteGuard Server Edition」に脆弱性 - 悪用も確認』（2026年10月14日）
2026年10月16日時点の情報です。
