ZeroKai
新規登録
脅威

国産WAF「SiteGuard Server Edition」に悪用済みの脆弱性（CVE-2026-106931）：影響範囲、修正版、更新前の痕跡保全と侵害調査

Ver2.20以降で統計機能が有効（初期値）なら対象です。更新すると攻撃の痕跡が消えるおそれがあるため、先に「診断情報」を保存してから、修正版かパッチを適用し、侵害調査まで行ってください。

公開日約15分で読めます

写真：Brett Sayles / Pexels

この記事の要点（経営者向け）

本記事の情報は、2026年10月22日夜（日本時間）時点のものです。最新の状況は、末尾の出典、特にEGセキュアソリューションズのお知らせをご確認ください。

  • 何が起きたか

    EGセキュアソリューションズは10月14日、ホスト型WAF「SiteGuard Server Edition」の統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）があると公表しました。悪用されると、製品が動くサーバー上でrootまたはSYSTEM権限で任意のOSコマンドが実行される可能性があります。同社は悪用を確認しています。[1][2][3]

  • 誰が影響を受けるか

    Ver2.20以降で、統計機能が有効（初期値は有効）な環境です。Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSDのApache版・Nginx版はVer7.00 Update6より前が対象です。JPCERT/CCは、この製品が国内で広く使われていることを確認しています。[1][3]

  • 悪用の状況

    開発元が悪用を確認しているほか、米CISAは10月20日（米国時間）、この脆弱性を「悪用が確認された脆弱性（KEV）」カタログに追加しました。米連邦機関への対応期限は10月23日です。ランサムウェアでの利用は「不明」とされています。[1][4][5]

  • 今日やること

    自社と委託先、ホスティング事業者のサーバーにSiteGuard Server Editionが入っていないか確認してください。対象なら、まずウェブ管理画面から「診断情報」をダウンロードして保管し、そのうえで修正版へ更新するかパッチを適用し、侵害調査を行います。更新や適用で攻撃の痕跡が消えるおそれがあるためです。[1][3]

今日やること：5つのステップ

開発元とJPCERT/CCの案内を、実務の順番に並べました。技術的な作業は担当者や委託先が行いますが、経営者は各ステップが終わったかを確認できます。[1][3]

  1. 洗い出す：自社、委託先、ホスティング事業者が運用するWebサーバーのうち、SiteGuard Server Editionを導入しているものを一覧にし、エディション（Apache版、Nginx版、IIS版、FreeBSD版）とバージョンを確認します。[1]
  2. 痕跡を保全する：更新やパッチの前に、ウェブ管理画面の［診断情報］→［診断情報をダウンロード］で診断情報を取得し、サーバーの外に保管します。[1][3]
  3. 直す：Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSDのApache版・Nginx版はVer7.00 Update6へ更新します。更新が難しい場合は、統計処理のファイルを差し替えるパッチを適用します（サポート終了版向けもあります）。[1]
  4. すぐ直せない場合：JPCERT/CCは、統計機能を無効にすれば影響を回避できるとしています。無効化の手順は開発元の最新情報で確認してください。[3]
  5. 侵害を調べる：JPCERT/CCは、対策とあわせて侵害調査の実施を検討するよう求めています。保存した診断情報やサーバーのログをもとに、不審な痕跡がないか調べます（後述）。[3]

どんな脆弱性か

SiteGuard Server Editionは、Webサーバーに組み込んで使うホスト型のWAF（Webアプリケーションファイアウォール）です。Webサーバーのモジュールとして動き、SQLインジェクションなどの攻撃からサイトを守ります。攻撃の検出状況を集計してグラフで表示する統計・レポートの機能があり、今回の脆弱性はこの統計機能にあります。[2][6][1]

  • 種類：OSコマンドインジェクション（CWE-78）。CVE番号はCVE-2026-106931、JVNの番号はJVN#88474777です。[1][2]
  • 想定される影響：製品が動くサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性があります。つまり、サーバーの最上位の権限を奪われるおそれがあります。[1][3]
  • 深刻度：CVSS v4.0で8.5、CVSS v3.0で7.8です。開発元とJVNは表題で「緊急」としており、NVDは「HIGH（重要）」に分類しています。[1][2][7]

図 1

CVSSの評価から読み取れるリスクの構図

CVSSでは、攻撃にはサーバーへのローカルなアクセスと低い権限が必要とされ、成功するとrootまたはSYSTEM権限でコマンドが実行されます。

  1. サーバー上の低い権限

    CVSSでは攻撃元区分は「ローカル」、必要な権限は「低」

  2. 統計機能の脆弱性

    OSコマンドインジェクション（CWE-78）

  3. root／SYSTEM権限

    サーバー上で任意のOSコマンドが実行されうる

注: CVSSベクターはAV:L（ローカル）、PR:L（低い権限が必要）、UI:N（利用者の操作は不要）です。具体的な攻撃手法は公表されておらず、本記事でも扱いません。

出典: [1], [7]

影響を受ける環境

対象は、SiteGuard Server EditionのVer2.20以降のうち、次の修正版より前のバージョンです。ただし、IIS版のVer3.10からVer4.00 Update4は影響を受けません。また、統計機能が有効な場合に影響を受けます。統計機能は初期設定で有効です。[1][3][2]

図 2

エディションごとの影響範囲と修正版

Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSDのApache版・Nginx版はVer7.00 Update6で修正され、更新が難しい場合のパッチもあります。

エディションごとの影響範囲と修正版
エディション影響を受けるバージョン修正版
Apache版・Nginx版（FreeBSDを除く）Ver2.20以降、Ver8.00 Update5より前Ver8.00 Update5
IIS版Ver2.20以降、Ver8.00 Update5より前（Ver3.10〜Ver4.00 Update4を除く）Ver8.00 Update5
FreeBSDのApache版・Nginx版Ver2.20以降、Ver7.00 Update6より前Ver7.00 Update6

注: いずれも統計機能が有効な場合に影響を受けます（初期値は有効）。修正版は2026年9月29日にリリースされています。バージョンアップが難しい利用者向けのパッチも提供されています。パッチは統計処理の対象ファイルを差し替えるもので、サポート終了版向けもあります。入手方法は開発元のサポート窓口で確認してください。

出典: [1], [3], [2], [8]

影響範囲の起点であるVer2.20のリリースは2015年4月30日です。10年以上前から使い続けているサーバーも対象になりえます。[8]

  • 自社で導入していなくても、レンタルサーバーやクラウド、マネージド専用サーバーのサービスで使われている場合があります。開発元の動作環境のページには、Amazon EC2、さくらのVPS・さくらのクラウド、各社のマネージド専用サーバーやホスティングサービスなど、利用機会の多いサービスの例が挙がっています。導入や更新を事業者が担当しているかは、各事業者に確認してください。[9]
  • SiteGuardシリーズには、ゲートウェイ型のProxy Editionやクラウド型のCloud Editionもあります。今回の公表で対象として挙げられているのは、Server Editionだけです。[1][6]

自社が影響を受けるかの確認方法

図 3

このサーバーは対象か：確認の流れ

SiteGuard Server Editionを使っているか、影響を受けるバージョンか、統計機能が有効かを順に確かめます。

  1. SiteGuard Server Editionを使っていますか

    自社、委託先、ホスティング事業者の管理分も含めて

    いいえ

    今回の脆弱性の対象外です。分からない場合は、導入した担当者、販売店、事業者に確認してください。

    はい

  2. Ver2.20以降で、修正版より前のバージョンですか

    修正版はVer8.00 Update5（FreeBSD版はVer7.00 Update6）

    いいえ

    修正版以降、またはIIS版のVer3.10〜Ver4.00 Update4なら影響を受けません。Ver2.20より前はすでにサポートが終了しているため、移行を検討してください。

    はい

  3. 統計機能は有効ですか

    初期設定では有効です

    いいえ

    現時点では影響を受けませんが、設定が戻ると対象になります。修正版への更新かパッチの適用を計画してください。

    はい

  4. 影響を受けます

    診断情報を保存してから、修正版かパッチを適用し、侵害調査を行ってください。

出典: [1], [3], [8]

導入しているバージョンが分からない場合は、製品マニュアルの手順で確認するか、開発元のサポート窓口に問い合わせてください。開発元によると、サポート窓口は納品時の「契約内容確認書」に記載されているほか、購入した販売店でも確認できます。最新のソフトウェアやマニュアルは、ユーザー向けのダウンロードページ（ログインが必要）で提供されています。[1][10]

図 4

バージョン系列ごとのサポート状況

Ver8.00系とFreeBSD版のVer7.00 Update4以降は現行、その他のVer7.00系は2026年11月30日にサポート終了予定で、Ver6.00以前はサポートが終了しています。

バージョン系列ごとのサポート状況
バージョンサポート状況今回の対応
Ver8.00〜Ver8.00 Update4現行Ver8.00 Update5へ更新
Ver7.00 Update4・Update5（FreeBSD版）現行Ver7.00 Update6へ更新
Ver7.00〜Ver7.00 Update3、Ver7.00 Update4・Update5（IIS版）2026年11月30日に終了予定修正版へ更新、またはパッチ
Ver2.20〜Ver6.00 Update1サポート終了パッチを適用し、移行を計画

注: 開発元の「サポートバージョン情報」を2026年10月22日に確認した内容です。パッチはサポート終了版向けにも提供されていますが、長く使い続けるには、サポート中のバージョンへの移行が必要です。

出典: [8], [1]

更新とパッチの手順

図 5

対応の流れ：診断情報の保存を先に

対象のサーバーを洗い出し、診断情報を保存してから、修正版かパッチを適用し、バージョンを確かめて侵害調査を行います。

  1. 01洗い出す

    エディションとバージョンを、委託先やホスティング分も含めて確認

  2. 02診断情報を保存する

    ウェブ管理画面の［診断情報］→［診断情報をダウンロード］。サーバーの外に保管

  3. 03修正版へ更新、またはパッチを適用

    Ver8.00 Update5（FreeBSD版はVer7.00 Update6）。難しければ統計処理のファイルを差し替えるパッチ

  4. 04確かめる

    修正版になったこと、またはパッチが適用されたことを確認

  5. 05侵害を調べる

    保存した診断情報とログで、更新前に侵入されていなかったか調べる

出典: [1], [3]

  • 更新の詳細な手順は、開発元がユーザーに提供する情報（バージョンアップ情報やマニュアル）に従ってください。開発元は、直接サポート契約のある利用者に9月29日に個別に案内済みとしています。[1][10]
  • 販売店やホスティング事業者を通じて導入している場合は、その事業者が対応済みかを確認してください。開発元は、サポート窓口を契約した販売店でも確認できるとしています。[1]
  • すぐに更新もパッチ適用もできない場合、JPCERT/CCは統計機能の無効化を回避策として挙げています。統計やレポートが使えなくなる点を考慮し、修正までのつなぎとして使ってください。手順は開発元の最新情報で確認してください。[3]

侵害の兆候を調べる

本記事の確認時点で、開発元やJPCERT/CCは、侵害の痕跡（IoC）の具体的な一覧を公表していません。開発元は診断情報の取得による痕跡の保全を、JPCERT/CCは侵害調査の実施の検討を求めています。CISAはKEVで、この脆弱性について米連邦機関にフォレンジックトリアージ（侵害の有無の初期調査）を求めています。その手順は日本企業にも参考になります。[1][3][4][11]

  • 範囲を決める

    影響を受けるサーバーと、そこにつながるシステムやサービスを特定します。侵害されているかもしれない環境に頼らない連絡手段も用意します。[11]

  • 証拠を先に集める

    可能な限り、修正や変更の前に証拠を集めます。メモリなど電源を切ると消えるデータを優先し、何をいつ、どのサーバーから集めたかを記録します。SiteGuardの診断情報もここで保存します。[11][1]

  • 封じ込める

    証拠を集めたら、影響を受けたサーバーを切り離します。早すぎる封じ込めは証拠を消すおそれがあり、攻撃者に気付かれないよう進めることも大切です。[11]

  • 調べる観点

    不正なアクセスやアカウントの利用、攻撃者の存在、他のシステムへの横展開、居座るための仕掛け（永続化）、データの持ち出しの準備や持ち出しの痕跡がないかを調べ、見つかった痕跡が他にもないか確認します。[11]

侵害が疑われる場合・確認された場合の対応

  1. 証拠を保全したうえで、サーバーを切り離します。CISAは、証拠の収集と封じ込めの順番を調整するよう求めています。[11]
  2. 開発元のサポート窓口とJPCERT/CCに相談します。JPCERT/CCは、この件について提供できる情報があれば連絡するよう呼びかけています。[1][3]
  3. rootまたはSYSTEM権限でのコマンド実行が想定される脆弱性のため、侵害が確認されたサーバーは全体が攻撃者の手に渡った前提で扱い、そのサーバーに保存されていたパスワードやAPIキーなどの交換と、作り直しを検討してください。修正を適用してから戻します。[1]
  4. 侵入の経路が他にもないか調べます。CVSSの評価では攻撃にサーバー上の低い権限が必要とされているため、Webアプリなど他の入口が使われていないかも確認対象です。[7][11]
  5. 個人情報が漏えいしたおそれがある場合は、法令上の報告や本人への通知が必要になることがあります。専門家に確認してください。

経緯

図 6

修正版のリリースから公表、KEV登録まで

9月29日に修正版のリリースと契約者への通知があり、10月14日に一般に公表され、10月20日に米CISAがKEVに追加しました。

  • 開発元
  • 国内の公的機関
  • 米国の公的機関

  1. 2015年4月30日・開発元

    Ver2.20をリリース

    影響範囲の起点となるバージョン

  2. 2026年9月29日・開発元

    修正版をリリースし、サポート契約者に個別に通知

    Ver8.00 Update5、Ver7.00 Update6（FreeBSD版）

  3. 2026年10月14日・開発元

    開発元が脆弱性を公表（緊急）

  4. 2026年10月14日・国内の公的機関

    JVN#88474777公開、JPCERT/CCが注意喚起

    JPCERT-AT-2026-0032

  5. 2026年10月14日 14:16・米国の公的機関

    NVDにCVE-2026-106931が公開

  6. 2026年10月20日・米国の公的機関

    CISAがKEVカタログに追加

    フォレンジックトリアージの対象

  7. 2026年10月23日・米国の公的機関

    米連邦機関の対応期限

注: 国内の日付は日本時間、CISAの日付は米国時間です。時刻が公表されていないものは日付のみです。NVDの公開時刻は05:16（UTC）です。

出典: [8], [1], [2], [3], [7], [5], [4]

この脆弱性は、情報セキュリティ早期警戒パートナーシップに基づいて開発者がIPAに報告し、JPCERT/CCが開発者との調整を行いました。[2]

再発を防ぐために

  • サポート期限を管理する：SiteGuard Server Editionは、バージョンアップに伴って古いバージョンのサポートを順次終了しています。Ver7.00系の一部は2026年11月30日に終了予定です。導入しているバージョンと期限を台帳で管理してください。[8]
  • 開発元からの連絡を受け取れるようにする：開発元は、ユーザー登録された宛先にバージョンアップ情報を送っています。登録先が退職者や委託先の古い窓口のままになっていないか確認してください。[12][1]
  • セキュリティ製品も更新対象として扱う：WAFのような防御製品もソフトウェアであり、脆弱性が見つかることがあります。OSやアプリと同じく、更新の対象と担当者を決めておきましょう。[1][2]
  • 公的な情報源を確認する習慣をつくる：JVN、JPCERT/CCの注意喚起、CISAのKEVカタログは、悪用されている脆弱性を早く知る手がかりになります。[3][4]

よくある質問

印刷用チェックリスト

  • 自社、委託先、ホスティング事業者のサーバーで、SiteGuard Server Editionの有無を確認した
  • 各サーバーのエディション（Apache版／Nginx版／IIS版／FreeBSD版）とバージョンを記録した
  • 統計機能が有効かどうかを確認した（初期値は有効）
  • 更新の前に、ウェブ管理画面から診断情報をダウンロードし、サーバーの外に保管した
  • Ver8.00 Update5（FreeBSD版はVer7.00 Update6）へ更新、またはパッチを適用した
  • すぐ直せないサーバーは、統計機能の無効化を検討した
  • 診断情報とログをもとに、侵害の有無を調べた
  • 不審な点があれば、開発元のサポート窓口、JPCERT/CC、専門家に相談した
  • サポート終了版は、移行の計画を立てた（Ver7.00系の一部は2026年11月30日に終了予定）
  • 開発元に登録している連絡先が最新か確認した

ZeroKaiでできること

今回のような脆弱性で最初につまずくのは、「どのサーバーで何が動いているか分からない」ことです。ZeroKaiは、ドメインを入力するだけで、証明書の透明性ログに記録されたホスト名を一覧にし、管理画面や検証環境に見える名前を目立たせます。所有権を確認したドメインでは、Shodanが観測したリモートアクセス、ファイル共有、データベース、FTPといった公開サービスも表示します。コンソールでは、CISAのKEVカタログやJVN iPediaの脆弱性情報も参照できます。

出典

本文中の［番号］は、以下の出典に対応しています。 リンク先は2026年10月13日に確認しました。

  1. [1]EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」、2026年10月14日
  2. [2]JVN（JPCERT/CC・IPA）「JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性」、2026年10月14日
  3. [3]JPCERT/CC「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起（JPCERT-AT-2026-0032）」、2026年10月14日
  4. [4]CISA（米国）「Known Exploited Vulnerabilities Catalog：CVE-2026-106931（2026年10月21日版を確認、英語）」、2026年10月20日
  5. [5]CISA（米国）「CISA Adds Six Known Exploited Vulnerabilities to Catalog（英語）」、2026年10月20日
  6. [6]EGセキュアソリューションズ「ホスト型WAF（SiteGuard Server Edition）」、2026年10月22日
  7. [7]NIST NVD「CVE-2026-106931（英語）」、2026年10月14日
  8. [8]EGセキュアソリューションズ「サポートバージョン情報（10月22日に確認）」、2026年10月22日
  9. [9]EGセキュアソリューションズ「SiteGuardシリーズ 動作環境」、2026年10月22日
  10. [10]EGセキュアソリューションズ「サポート情報」、2026年10月22日
  11. [11]CISA（米国）「BOD 26-04: Implementation Guidance for Prioritizing Security Updates Based on Risk（Forensic Triage Steps、英語）」、2026年8月25日
  12. [12]EGセキュアソリューションズ「「SiteGuardシリーズ」バージョンアップのお知らせ」、2026年3月5日

確認漏れを防ぐために、まず外から見えるサーバーを洗い出しませんか

ドメインを入力してアカウントを作成すると、無料のパッシブ評価をすぐに始められます。1つの所有権確認済みドメインまで無料で、対象のサーバーには接触しません。

アカウント登録後、すぐに評価を開始できます。

ニュースレター

日本企業に関係するサイバーセキュリティニュースを、わかりやすく。週2回（月・水）お届けします。

スパムは送りません。いつでも配信停止できます。 プライバシーポリシー