国産WAF「SiteGuard Server Edition」の統計機能にroot権限を奪われる脆弱性（CVE-2026-106931）、悪用を確認 — 更新の前に「診断情報」を保存する

admin · 2026年10月16日 · 7 min read

Webサイトへの攻撃を防ぐために入れる国産のWAF（Web アプリケーションファイアウォール）「SiteGuard Server Edition」に、サーバー上で root（Windows では SYSTEM）権限のコマンドを実行される脆弱性（CVE-2026-106931）が見つかった。開発元の EGセキュアソリューションズは2026年10月14日に公表し、すでに悪用を確認しているとした。JPCERT/CC も同日、国内で広く使われている製品として注意喚起（JPCERT-AT-2026-0032）を出している。問題があるのは初期設定で有効になっている「統計機能」で、更新すると攻撃の痕跡が消えるおそれがあるため、更新の前に「診断情報」を保存する手順が必要になる。

背景

SiteGuard Server Edition は、Web サーバー（Apache、Nginx、IIS）に組み込んで動かすホスト型の WAF で、SQL インジェクションなど Web サイトへの攻撃を検知して止める。開発元の勧告によると、統計機能に OS コマンドインジェクション（CWE-78）の不備がある。深刻度は CVSS v3.0 で 7.8、CVSS v4.0 で 8.5 と評価されている。

対象は Ver2.20 以降の次の版で、統計機能が有効なもの（初期値は有効）である。

Apache版・Nginx版・IIS版: Ver8.00 Update5 より前
FreeBSD の Apache版・Nginx版: Ver7.00 Update6 より前
例外: IIS版の Ver3.10 から Ver4.00 Update4 までは影響を受けない

修正版は Ver8.00 Update5（FreeBSD 以外）と Ver7.00 Update6（FreeBSD）である。版を上げられない利用者向けに、統計処理のファイルを差し替えるパッチも提供されており、サポートが終わった版にも使える。回避策は統計機能の無効化である。開発元は2026年9月29日に、サポート契約のある利用者へ個別に通知していた。勧告の対象は Server Edition で、クラウド型の Cloud Edition やゲートウェイ型の Proxy Edition は対象に挙がっていない。

リスクの全体像

CVSS の評価内容を見ると、この脆弱性は外部からいきなり突けるものではなく、攻撃者がすでにサーバー上で低い権限を持っていることが前提になっている。危ないのはその先で、たとえば Web サイトの別の弱点から一般ユーザー権限で入り込んだ攻撃者が、この脆弱性を使って root 権限まで上がれる。root 権限を取られると、サイトの改ざん、決済画面への不正なプログラムの埋め込み、顧客データの持ち出し、他のサーバーへの侵入の足場づくりまで、何でもできる状態になる。

皮肉なのは、Web サイトを守るために入れた WAF が、権限を奪う通り道になった点である。WAF を入れていることで安心し、その WAF 自体の更新は導入時の構築会社や保守会社に任せたまま、という中小企業は少なくない。開発元はサポート契約者に9月29日に通知しているが、契約が切れている利用者や、制作会社経由で導入した利用者には情報が届いていない可能性がある。

もう1つの注意点は、更新すると攻撃の痕跡が消えるおそれがあることだ。痕跡を残さずに更新すると、すでに侵入されていたかどうかを後から確かめられなくなる。個人情報を扱うサイトでは、漏えいの有無を説明できないまま公表や報告の判断を迫られる。

チェックリスト

自社の Web サーバー（委託先・制作会社が管理するものを含む）に SiteGuard Server Edition が入っているか
版が Ver8.00 Update5（FreeBSD は Ver7.00 Update6）以降になっているか
統計機能が有効になっているか（初期値は有効）
更新やパッチの前に、Web 管理画面の「診断情報」→「診断情報をダウンロード」で診断情報を取得し、保管したか
サポート契約が切れていないか。9月29日の開発元からの通知を受け取った担当者がいるか
同じサーバー上の CMS（WordPress など）やプラグインに、未更新の脆弱性が残っていないか

打ち手

1番目は痕跡の保全である。更新やパッチより先に、管理画面から診断情報をダウンロードし、日付を付けてサーバーの外に保管する。順番を逆にすると、侵入の有無を確かめる材料が消える。

2番目は更新である。Ver8.00 Update5（FreeBSD は Ver7.00 Update6）以降へ上げる。版を上げられない事情がある場合は、開発元の差し替えパッチを当てる。どちらもすぐに実施できない場合は、統計機能を無効にして当面の危険を下げる。

3番目は侵害の確認である。保存した診断情報をもとに、開発元のサポート窓口か JPCERT/CC に相談する。この脆弱性はサーバー上に足場を持つ攻撃者が使うものなので、同じサーバーで動く CMS やプラグインの更新状況、Web サーバーのログに不審なファイルのアップロードや見覚えのない管理者ログインが無いかもあわせて確かめる。改ざんや持ち出しの痕跡があれば、サーバーを切り離し、専門の調査会社に相談する。

4番目は保守の範囲の確認である。SiteGuard を構築会社や保守会社が入れた場合、更新が保守契約に含まれているかを確かめ、今回の対応の完了報告（版数と診断情報の保管場所）を書面でもらう。

更新の前に診断情報を保存する。この順番を守らないと、侵入されたかどうかを後から確かめられない

Omamori AI の結論

事実: SiteGuard Server Edition の統計機能に OS コマンドインジェクションの脆弱性（CVE-2026-106931、CVSS v3.0 7.8）があり、開発元が悪用を確認している。悪用されるとサーバー上で root または SYSTEM 権限のコマンドを実行される。
判断軸: Ver2.20 以降で修正版より前の版を使い、統計機能が有効（初期値）なら対象になる。
打ち手: 診断情報の保存、修正版への更新か差し替えパッチ、難しければ統計機能の無効化、同じサーバーの CMS とログの確認、保守契約での完了報告の取得。

経営者視点で考えるべきこと

守りのために入れたソフトウェアは、入れた時点で「対策済み」と扱われやすく、その後の更新が誰の仕事なのかが曖昧になる。今回、開発元は公表の2週間前にサポート契約者へ個別に通知していた。契約の無い利用者は、10月14日の公表まで知る手段が無かったことになる。経営者が確認したい点は3つある。自社の Web サイトでどのセキュリティ製品が動いていて、誰が更新しているかを説明できる人がいるか。制作会社や保守会社との契約で、悪用が確認された脆弱性への対応期限と報告の形が決まっているか。保守契約が切れて、開発元からの通知が届かない製品が残っていないか。Web サイトが改ざんされると、顧客が偽の決済画面にカード情報を入れる被害につながり、自社が加害の窓口になる。

TAGS WordPress インシデント対応サーバー管理脆弱性・CVE

編集部

Omamori AI 編集部

CISO・情シス・経営層向けに、AIセキュリティの一次情報を編集視点で整理

記事の論点を、自社のリスク評価に

90秒の自己診断 or CISO/情シス向け月次レビュー（顧問契約）でアクションに繋げます。

無料 90秒自己診断顧問契約詳細