要点
発表された事実
- EGセキュアソリューションズは2026年10月14日、ホスト型WAF「SiteGuard Server Edition」の統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）が見つかり、「すでに悪用が確認されています」と公表した。製品が動くサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性がある（EGセキュアソリューションズ）。
- 同社はサポート契約のある顧客には9月29日に、脆弱性の存在と対策（バージョンアップ、個別パッチ）を個別に通知していた（同）。
- JPCERT/CCは同日、当該製品が国内で広く利用されていることを確認しているとして注意喚起を出し、対策とあわせて侵害調査の実施を検討するよう求めた（JPCERT/CC）。
- CVSSの基本値はv4.0で8.5、v3.0で7.8。評価ベクトルは攻撃元区分が「ローカル」、必要な特権レベルが「低」（JVN#88474777）。
影響バージョン
- SiteGuard Server Edition Ver2.20以降で、統計機能が有効なもの（統計機能の初期値は有効）。
- Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSD Apache版・Nginx版はVer7.00 Update6より前が対象。IIS版のVer3.10からVer4.00 Update4は影響を受けない。
- 修正版はApache版・Nginx版・IIS版がVer8.00 Update5、FreeBSD Apache版・Nginx版がVer7.00 Update6。バージョンアップが難しい場合向けに、統計処理の対象ファイルを差し替えるパッチがある（サポート終了バージョンを含む）。
今すぐやること
- 更新の前に、ウェブ管理画面の［診断情報］―［診断情報をダウンロード］で診断情報を取得して保管する（更新やパッチ適用で攻撃の痕跡が消える可能性がある）。
- 修正版へ更新するか、パッチを適用する。すぐにできない場合、JPCERT/CCは統計機能の無効化で影響を回避できるとしている。
- 侵害調査を検討する（JPCERT/CC）。
わかっていないこと
- 悪用がいつから、どの程度の数の環境で確認されているか
- 攻撃者がどうやって「ローカル」「低い特権」の前提を満たしたか（最初の足がかりの手口）
- 悪用された環境でroot/SYSTEM取得後に何が行われたか、診断情報のどこに痕跡が残るか
- SiteGuard Server Editionを組み込んで提供しているホスティング事業者の対応状況
- 統計機能のどの処理に、どんな入力が渡ってコマンドになるのか（技術的な詳細は非公表）
関係しそうな既知の手口
- （考察）CVSSの評価は「ローカル」「低い特権」で、外から1回のリクエストでサーバーを奪う種類ではなく、すでにサーバー上で低い権限を得た攻撃者がrootやSYSTEMに上がるための欠陥として評価されている。JPCERT/CCが10月9日に追加した「公開Webサーバーからアクセスできるアプリケーションサーバー上へのWebシェル設置」のように、Webアプリ側から低い権限の足がかりを得る手口と組み合わさると、WAFそのものが権限昇格の踏み台になりうる。ただし、実際の悪用がどんな連鎖だったかは公表されていない。
概要
- 国内で広く使われているホスト型WAF「SiteGuard Server Edition」の統計機能に、悪用が確認されたOSコマンドインジェクションの脆弱性があり、rootまたはSYSTEM権限でコマンドを実行される可能性がある。
- 統計機能は初期値で有効なので、Ver2.20以降をそのまま使っていれば多くが対象になる。修正版とパッチがあり、適用前に「診断情報」を保管することが求められている。
- サポート契約者への個別通知（9月29日）から一般公表（10月14日）まで約2週間あり、公表時点ですでに悪用が確認されていた。
この記事では、公式発表・報道で確認できた内容を「事実」、筆者の推測や意見を「考察」として分けて書いています。確認できなかった情報は書いていません。
何が起きたか（時系列）
| 時期 | 出来事 |
|---|---|
| 2026-09-29（火） | EGセキュアソリューションズが、直接サポート契約のある顧客に脆弱性の存在と対策（バージョンアップ、個別パッチ）を通知（EGセキュアソリューションズ、JVN） |
| 2026-10-14（水） | EGセキュアソリューションズが「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」を公開し、悪用の確認を明らかにする（EGセキュアソリューションズ） |
| 2026-10-14（水）15:15 | JVNがJVN#88474777を公開（JPCERT/CCのJVN新着一覧） |
| 2026-10-14（水） | JPCERT/CCが注意喚起（JPCERT-AT-2026-0032）を公開（JPCERT/CC） |
発表内容の整理
事実（EGセキュアソリューションズ・JVN・JPCERT/CC）
| 項目 | 内容 |
|---|---|
| 製品 | SiteGuard Server Edition（Webサーバーに組み込んで使うホスト型WAF） |
| 脆弱性 | 統計機能のOSコマンドインジェクション（CWE-78）、CVE-2026-106931 |
| 深刻度 | CVSS v4.0 基本値8.5（AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H）、CVSS v3.0 基本値7.8（AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H） |
| 想定される影響 | 製品が動作するサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性 |
| 悪用 | 確認されている |
| 対象 | Ver2.20以降で統計機能が有効なもの（初期値は有効）。Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSD Apache版・Nginx版はVer7.00 Update6より前。IIS版Ver3.10〜Ver4.00 Update4は対象外 |
| 対策 | 修正版への更新、または統計処理の対象ファイルを差し替えるパッチの適用（サポート終了バージョン向けを含む） |
| 回避策 | 統計機能の無効化（JPCERT/CC） |
| 痕跡の保全 | 更新・パッチ適用で痕跡が消える可能性があるため、適用前にウェブ管理画面の［診断情報］―［診断情報をダウンロード］で取得・保管 |
| 届出の経緯 | 情報セキュリティ早期警戒パートナーシップに基づき開発者がIPAに報告し、JPCERT/CCが調整（JVN） |
- 国内のレンタルサーバーでは、KDDIグループのCPIがマニュアルで「EGセキュアソリューションズ株式会社が提供するソフトウェアタイプの SiteGuard Server Edition を採用」と説明している（CPIのWAFマニュアル）。CPIを含むホスティング事業者が本件にどう対応したかは、確認できた範囲では公表されていない。
考察
この発表で気をつけたいのは、深刻度の数字と実際の重さのずれだ。v3.0の7.8は「High」だが、攻撃元区分が「ローカル」なので、インターネット越しに単独で突ける欠陥ほどには目立たない。一方で、悪用はすでに確認されていて、取られるのはWebサーバーのホストのroot/SYSTEMだ。足がかりさえあれば最後の一段を簡単に登れる欠陥は、外からの侵入口を別に持っている攻撃者にとって十分に価値がある（考察）。
もう一つは、守る側の製品が狙われている点だ。SiteGuard Server EditionはWebサーバーに組み込まれて動き、統計機能は初期値で有効になっている。その処理の欠陥でroot/SYSTEM権限のコマンド実行に届くのであれば、防御のために入れた製品の付属機能が、サーバーでいちばん強い権限への近道になっていたことになる（考察）。統計機能のどの処理に、どんな入力が渡っていたかは公表されていない。
公表の順番も読み取れる。サポート契約者には9月29日に通知し、一般公表は10月14日で、その時点で悪用確認が明記された。契約者が先に対処できた一方で、サポート契約のないサーバー（サポート終了バージョンを含む）は、2週間あまり情報がないまま残っていたことになる（考察）。サポート終了バージョン向けにもパッチを出しているのは、その層が実際にいることを開発者が把握しているからだろう。
関係しそうな既知の手口
事実（既知の知見）
- JPCERT/CCは10月9日、国内で相次ぐ不正アクセスの類型の一つとして、公開Webサーバーからアクセスできるアプリケーションサーバー上にWARファイルが置かれ、中のJSPファイルが簡易Webシェルとして動き、特定のクエリパラメーターをシェルコマンドとして実行するケースを追加した（JPCERT/CC、注意喚起の整理記事）。
- 海外では、守る側の製品そのものが侵入口になる事例が今月も続いている。Bitgetの流出ではセキュリティ製品がウォレットへの踏み台になった（Bitgetの記事）。
考察
- WebシェルとWAFの組み合わせ：Webアプリの脆弱性やアップロード機能から得られるWebシェルは、ふつうはWebサーバーの実行ユーザー（低い権限）で動く。そこから同じサーバー上のSiteGuardの統計機能を突けばroot/SYSTEMになれる、という連鎖は評価ベクトルと矛盾しない。本件の実際の悪用がこの形だったかはわからないが、「Webアプリに既知の穴がある」「SiteGuardが未更新」の2つがそろったサーバーは、優先して点検する価値がある。
- 共用サーバーでの意味：1台のサーバーを多数の利用者で共有するレンタルサーバーでは、各利用者がそのサーバー上で低い権限のアカウントを持つ。そうした環境で「ローカル」「低い特権」の欠陥が持つ意味は、専用サーバーより大きい（考察）。事業者側の更新状況は利用者からは見えないので、事業者の告知を確認したい。
利用者・運用者がいまできること
事実（発表に基づく）
- 自分の環境のSiteGuard Server Editionのバージョンと、統計機能の有効・無効を確認する。
- 更新の前に、ウェブ管理画面から診断情報をダウンロードして保管する。
- Apache版・Nginx版・IIS版はVer8.00 Update5以降、FreeBSD Apache版・Nginx版はVer7.00 Update6以降へ更新する。難しければ統計処理の対象ファイルを差し替えるパッチを適用する。すぐにどちらもできなければ、統計機能を無効にする。
- 侵害調査の実施を検討する。不明点は契約時に案内されたサポート窓口かJPCERT/CCに問い合わせる。
考察（運用者向け）
- 9月29日の個別通知を受け取っていたかを確認する。受け取っていたのに未対応なら、通知日以降に痕跡がないかを重点的に見る。
- 保管した診断情報とあわせて、サーバー上の不審なプロセス、cronやサービスの追加、新しいアカウントや鍵、Webディレクトリ内の見覚えのないファイルを確認する。root/SYSTEMで動かれた場合、ログ自体が書き換えられている可能性もある。
- 同じサーバーで動くWebアプリの既知の脆弱性とアップロード機能も、あわせて点検する。低い権限の足がかりを断てば、本件の欠陥まで届かない。
- レンタルサーバーやマネージドサービスでSiteGuardを使っている場合は、事業者の告知や問い合わせで、更新済みかどうかを確かめる。
参考リンク
- SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)（EGセキュアソリューションズ、2026-10-14）
- SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起（JPCERT/CC、2026-10-14）
- JVN#88474777: SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（JVN、2026-10-14）
- JVNDB-2026-000148（JVN iPedia）
- 国産WAF「SiteGuard Server Edition」に脆弱性 - 悪用も確認（Security NEXT、2026-10-14）
- WAF（Web アプリケーションファイアウォール）（CPI サポートマニュアル）
- 直近で相次いでいる国内組織における不正アクセスに関する注意喚起（JPCERT/CC、2026-10-08公開・10-09更新）