【緊急】SiteGuard Server Edition CVE-2026-106931：Ver8.00 Update5へ更新（CVSS v4.0 8.5）— 悪用が確認済み、更新の前に「診断情報」を保存する

国産のホスト型WAF「SiteGuard Server Edition」の統計機能に、攻撃者がサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドを実行できる脆弱性が見つかっています。CVE-2026-106931です。メーカーのEGセキュアソリューションズは2026年10月14日に「すでに悪用が確認されている」と公表し、CISAは10月20日にKEV（悪用が確認された脆弱性のカタログ）へ追加しました。JPCERT/CCは、この製品が国内で広く利用されていることを確認していると書いています。

対象は、Ver2.20以降を使っていて、統計機能が有効な場合です（統計機能は初期値で有効）。修正版は、Apache版・Nginx版・IIS版がVer8.00 Update5、FreeBSD版（Apache・Nginx）がVer7.00 Update6です。

更新の前に、必ず「診断情報」をダウンロードして保管してください。メーカーは、更新やパッチの適用で攻撃の痕跡が消える可能性があると案内しています。更新したあとは、侵害されていないかの調査も検討してください（JPCERT/CC）。

このスコアの出どころを明記します。8.5は採番元のJPCERT/CCが付けたCVSS v4.0の値で、ベクタは `CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N`（ローカル・低い権限が必要・ユーザー操作不要）です。メーカーとJVNは、同じ内容をCVSS v3.0で7.8（HIGH）とも書いています。NVD自身のスコアは、2026年10月21日の時点でまだ付いていません（NVDの状態は「Deferred」）。この記事は、v4.0の8.5を表に採り、v3.0の7.8を併記します。弱点の種類はCWE-78（OSコマンドインジェクション）です。

「ローカル」「低い権限が必要」という表記に注意してください。このスコアは、攻撃者が最初にサーバー上で何らかの権限を持っていることを前提にします。それでもメーカーは悪用を確認しており、実際の攻撃の入り口や経路は公表されていません（下の「確認できなかったこと」）。

今すぐ行う対策

• ✓★自社のサーバーに、SiteGuard Server Editionが入っているかを確認する。Webサーバーに組み込む形のWAFなので、Webサーバーの管理者に聞いてください。入っていて、Ver2.20以降で、統計機能が有効なら対象です（統計機能は初期値で有効）。IIS版でVer3.10〜Ver4.00 Update4は、対象外です
• ✓更新する前に、「診断情報」を保存する。メーカーの案内では、ウェブ管理画面の［診断情報］→［診断情報をダウンロード］です。更新やパッチで攻撃の痕跡が消える可能性があるため、これを先に行います（メーカー・JPCERT/CC）
• ✓修正版へ更新する。Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSDのApache版・Nginx版はVer7.00 Update6です
• ✓更新が難しいときは、メーカーのパッチを適用する。統計処理の対象ファイルを差し替えるパッチで、サポートが終了したバージョンも対象です（メーカー）
• ✓すぐに更新もパッチもできないときは、統計機能を無効にする。JPCERT/CCは、これで脆弱性の影響を回避できると書いています。無効化の手順は、メーカーの最新の案内で確認してください（この記事では、手順を確認できていないため書きません）
• ✓侵害の調査を検討する。JPCERT/CCは「対策と侵害調査の実施を検討してください」と書いています。具体的な侵害の痕跡（IoC）は、見つけられた公開資料にはありません。インターネットから届くサーバーでは、Webサーバーや管理画面のログ、見覚えのないプロセスやアカウント、ファイルの変更を、専門の事業者と確認することをお勧めします（当サイトの補足）
• ✓サポート契約があるのに通知を見ていなかったら、確認する。メーカーは、直接サポート契約のある利用者に、2026年9月29日に個別で案内したと書いています

対象と修正版（メーカー・JVNより）

• ▸対象：SiteGuard Server Edition Ver2.20以降で、統計機能が有効なもの。次の修正版より前のバージョンです
• ▸Apache版・Nginx版・IIS版：Ver8.00 Update5より前が対象。Ver8.00 Update5で修正
• ▸FreeBSD版（Apache・Nginx）：Ver7.00 Update6より前が対象。Ver7.00 Update6で修正
• ▸対象外：IIS版のVer3.10〜Ver4.00 Update4
• ▸SiteGuard Proxy Edition（ゲートウェイ型）やSiteGuard Cloud Edition（クラウド型）は、この脆弱性の対象として挙げられていません。メーカーの案内は、Server Editionについてのみ書かれています

何が起きるのか

• ▸場所と種類：統計機能に、OSコマンドインジェクション（CWE-78）があります。攻撃が成功すると、製品が動くサーバー上で、rootまたはSYSTEM権限の任意のOSコマンドが実行される可能性があります（メーカー・JVN）
• ▸WAFが入っているサーバーで起きる点：WAFは、Webサーバーを守るために置く製品です。守る側の製品に脆弱性があり、侵害されると、そのサーバーのWebサイトやデータにも影響しうることになります（当サイトの補足）
• ▸悪用の状況：メーカーとJVNは悪用が確認されていると書いています。CISAの評価（NVDに記録）は、悪用が「active」、自動化が「no」、技術的影響が「total（全面的）」です。ランサムウェアでの使用は、KEVの欄で「Unknown（不明）」です

何が起きたか（日付つき）

• ▸9月29日：メーカーが、直接サポート契約のある利用者へ、脆弱性と対策を個別に通知（メーカー・JVN）
• ▸10月14日：メーカーが公表（「緊急」）。JVN#88474777とJPCERT/CCの注意喚起（JPCERT-AT-2026-0032）が同日に公開され、NVDにもこの日に登録されました
• ▸10月20日：CISAがKEVに追加。NVDに記録された連邦機関の対応期限は10月23日です。米国の連邦機関に課された期限で、日本の組織を拘束しませんが、急がれている度合いの目安にはなります

確認できなかったこと

• ▸誰が・いつから・どう悪用しているか。メーカー、JPCERT/CC、CISAのいずれも、攻撃の経路、時期、被害の規模を公表していません。確認できた公開資料に、侵害の痕跡（IoC）は載っていません
• ▸統計機能を無効にする具体的な手順。JPCERT/CCが回避策として挙げていますが、手順は「メーカーの最新の案内を確認」とされており、この記事では確認できませんでした
• ▸「ローカル」の攻撃条件が、実際の攻撃でどう満たされているか。スコアは、攻撃者が最初にサーバー上で権限を持つことを前提にしていますが、メーカーが確認した悪用でそれがどう成立したかは、書かれていません
• ▸NVDの独自スコア。2026年10月21日時点で、NVDは評価を終えていません（状態：Deferred）
• ▸日本国内の被害の件数。JPCERT/CCは「国内で広く利用されている」と書きますが、被害の数は公表されていません

共有するならこの3行

• ▸国産WAF「SiteGuard Server Edition」（Ver2.20以降・統計機能が有効）に、rootまたはSYSTEM権限でOSコマンドを実行される脆弱性（CVE-2026-106931・CVSS v4.0 8.5）。メーカーが悪用を確認し、10月20日にCISAもKEVに追加した
• ▸★更新する前に、管理画面から「診断情報」を保存する。そのあとVer8.00 Update5（FreeBSD版はVer7.00 Update6）へ更新するか、メーカーのパッチを当てる。更新やパッチで攻撃の痕跡が消える可能性がある
• ▸すぐに更新できないときは、統計機能を無効にする（JPCERT/CCの回避策）。更新後も、侵害の調査を検討する