SiteGuard Server Editionの脆弱性（CVE-2026-106931）

EGセキュアソリューションズは2026年10月14日、Web サーバーに入れて使う WAF（Web アプリケーションファイアウォール）「SiteGuard Server Edition」に、OS コマンドインジェクションの脆弱性（CVE-2026-106931）があると公表しました。 悪用されると、製品が動くサーバーの上で、root または SYSTEM の権限で任意の OS コマンドを実行されるおそれがあります。 開発元は「すでに悪用が確認されています」としており、JPCERT/CC も同じ日に注意喚起を出しています。

公表された内容

• 対象：SiteGuard Server Edition の Ver2.20 以降で、統計の機能が有効なもの（初期の設定では有効）。Apache 版・Nginx 版・IIS 版は Ver8.00 Update5 より前、FreeBSD の Apache 版・Nginx 版は Ver7.00 Update6 より前が対象です。IIS 版の Ver3.10〜Ver4.00 Update4 は影響を受けないとしています（EGセキュアソリューションズの発表）
• 深刻度：CVSS v4.0 の基本値 8.5、CVSS v3.0 の基本値 7.8（JVN）
• 悪用の有無：開発元が悪用を確認していると発表しています
• 修正版：Apache 版・Nginx 版・IIS 版は Ver8.00 Update5、FreeBSD の Apache 版・Nginx 版は Ver7.00 Update6
• 更新できない場合：統計の処理のファイルを差し替えるパッチが、サポートが終わった版の分も含めて用意されています。統計の機能を止めると影響を避けられるとしています（JPCERT/CC の注意喚起）
• 更新の前に：更新やパッチで攻撃の跡が消えるおそれがあるため、先に Web の管理画面の「診断情報」から診断情報をダウンロードして残すよう求めています
• ほかの製品：発表は SiteGuard Server Edition についてのもので、ほかの製品については書かれていません

中小企業が今日からできること

• 自社のサーバーで SiteGuard Server Edition を使っているか確かめる：Web サイトの運用や保守を外に任せている場合は、委託先に製品名と版を問い合わせる
• 修正版へ上げる前に診断情報を残す：管理画面から診断情報をダウンロードして保存してから、Ver8.00 Update5（FreeBSD 版は Ver7.00 Update6）へ更新する
• すぐ更新できなければパッチか回避策を使う：差し替え用のパッチを当てるか、統計の機能を止める
• 怪しい動きがないか見る：サーバーに覚えのないファイル・利用者・定期実行の設定が増えていないかを確かめ、見つけたら保守の会社や専門の窓口に相談する
• WAF も更新の対象に入れる：守るための製品も脆弱性を持つことがある。サーバーに入れたソフトの一覧に WAF を加え、開発元のお知らせを見る担当を決める