EGセキュアソリューションズは2026年10月14日、ホスト型WAF「SiteGuard Server Edition」のOSコマンドインジェクション脆弱性CVE-2026-106931を公表し、この脆弱性を悪用した攻撃を確認したと明らかにしました。JPCERT/CCも同日、注意喚起を公開しています。
影響する環境では、統計機能を通じてroot権限またはSYSTEM権限で任意のOSコマンドを実行される可能性があります。利用者は対象バージョンと統計機能の設定を確認し、更新作業の前に診断情報を保存したうえで、修正版またはパッチの適用を進める必要があります。
統計機能にOSコマンドインジェクション、CVSS v4.0は8.5
JVNの脆弱性情報によると、SiteGuard Server Editionの統計機能にOSコマンドインジェクション(CWE-78)の脆弱性が存在します。
開発元とJVNが示すCVSS基本値は、v4.0で8.5、v3.0で7.8です。いずれのベクトルも攻撃元区分はローカル(AV:L)、必要な特権レベルは低(PR:L)とされています。ただし、これはCVSSベクトル上の評価条件で、実際の攻撃経路の詳細は公表されていません。
一方、開発元は本脆弱性を悪用した攻撃を確認したと明記しています。サポート契約のある顧客には2026年9月29日に個別通知済みです。攻撃の規模は公表資料では明らかにされていません。脆弱性評価の条件と実悪用の有無は分けて捉え、対象製品を使う環境では対処を優先してください。
影響範囲と修正版はOSごとに確認
影響を受けるのは、SiteGuard Server Editionで統計機能が有効な環境です。統計機能は既定で有効です。対象バージョンと修正版はOSによって異なり、一部に対象外のバージョンもあります。
| 環境 | 影響するバージョン | 修正版 |
|---|---|---|
| Apache / Nginx版(FreeBSDを除く)、IIS版 | 2.20以降、8.00 Update5未満。IIS版の3.10から4.00 Update4までは対象外 | 8.00 Update5以降 |
| FreeBSD上のApache / Nginx版 | 2.20以降、7.00 Update6未満 | 7.00 Update6以降 |
同じSiteGuardの名称を持つ他製品については、今回の告知で言及されていません。契約情報や管理画面で利用中の製品名・OS・バージョンを照合してください。
更新前に診断情報をダウンロードする
JPCERT/CCは、対策に加えて侵害調査の実施を検討するよう求めています。
開発元は、Web管理画面の診断機能から「診断情報」をダウンロードして保管するよう求めています。バージョンアップやパッチ適用を先に行うと、攻撃を受けた痕跡が消失する可能性があるためです。
- 稼働中の製品名、OS、バージョン、統計機能の有効・無効を確認します。
- 更新・パッチ適用前に、Web管理画面から診断情報をダウンロードして保管します。
- 環境に対応する修正版へ更新するか、開発元が案内する統計機能のファイル置換パッチを適用します。
- 不審な兆候がある場合は、保全した情報を基に開発元や組織内のインシデント対応窓口へ相談します。
JPCERT/CCは、統計機能を無効化すれば本脆弱性の影響を回避できるとしています。直ちに更新できない場合は、JPCERT/CCの注意喚起と開発元の最新案内で具体的な手順を確認してください。統計機能を運用監視に使っている場合は、無効化によって取得できなくなる情報も把握しておくとよいでしょう。
開発元は、サポート終了バージョンを含めて適用できるパッチも案内しています。ただし、この提供を通常のサポート再開と捉えず、当面の脆弱性対処と、サポートされる環境への移行を分けて計画してください。
運用体制と関連製品の確認
WAFを担当部署や委託先が運用している場合は、診断情報の取得から修正版の適用まで、作業の順序を共有して調整してください。
Nginxを含むWeb基盤の更新については、関連記事「NGINXの2026年10月の脆弱性情報」も参照してください。
参考情報
- EGセキュアソリューションズ: SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)
- JVN: SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性
- JPCERT/CC: SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(CVE-2026-106931)に関する注意喚起
本記事は2026年10月19日時点で確認できた情報に基づきます。
コメント