JVNは2026年10月14日、EGセキュアソリューションズ株式会社が提供するSiteGuard Server Editionの脆弱性を公表しました。統計機能が有効な対象版では、サーバーの強い権限で任意のOSコマンドを実行される恐れがあります。JVNは悪用が確認されているとしており、利用企業は対象版と設定を確認し、更新またはパッチ適用を進める必要があります。
統計機能が対象、初期設定は有効
SiteGuard Server Editionは、Webサーバーに組み込むホスト型WAFです。WAFは、Webアプリケーションを保護するための仕組みです。今回の問題は、その統計機能にあります。
脆弱性の種類はOSコマンドインジェクションです。本来は想定していないOSへの命令を実行される問題で、識別番号はCVE-2026-106931です。JVNによると、稼働サーバーでrootまたはSYSTEMという強い権限による任意のOSコマンド実行の恐れがあります。
対象はVer2.20以降で、統計機能が有効な場合に影響を受けます。統計機能は初期設定で有効です。設定を変更した記録がない場合は、無効になっていると判断せず、実際の設定を確認してください。一方、IIS版のVer3.10からVer4.00 Update4は影響を受けません。
深刻度を示すCVSS基本値は、v4.0で8.5、v3.0で7.8です。点数だけでなく、すでに悪用が確認されていることを、対応の優先順位に反映する必要があります。ただし、今回の公表は、すべての導入先で被害が発生したという意味ではありません。
修正版と、更新が難しい場合のパッチを確認
JVNは、開発者の情報に基づく最新版への更新を案内しています。Apache版、Nginx版、IIS版はVer8.00 Update5で修正済みです。FreeBSDのApache版とNginx版はVer7.00 Update6で修正済みです。自社の製品版に対応した修正情報を確認してください。
更新が困難な環境には、開発者提供のパッチを適用する方法もあります。適用時には、統計処理で使うファイルを置き換えます。サポートが終了したバージョンも、パッチの提供対象に含まれます。更新が難しいことやサポート終了を理由に、対策の検討を止めないことが重要です。
開発者は2026年9月29日、直接サポート契約のある利用者に脆弱性と対策を通知済みです。通知を受け取っていた会社でも、受信しただけで対応が完了したとは判断できません。担当者への引き継ぎと、実際の適用結果を確認してください。
影響する会社・しない会社
- 影響する: SiteGuard Server EditionのVer2.20以降を使い、統計機能が有効な会社です。ただし、影響対象外のIIS版と修正済みの版は除きます。
- 影響する: 上記の条件に当てはまるサーバーの運用を外部に委託している会社です。委託先に製品版と統計機能の設定を確認してもらう必要があります。
- 影響しない: IIS版のVer3.10からVer4.00 Update4を使う会社は、今回の脆弱性の影響を受けません。
- 影響しない: 統計機能が無効の場合は、公表された影響条件に当たりません。ただし、無効化を対策として推奨できるかは、今回の資料には書かれていません。
情シスが今日やること
- 今日、IT資産台帳とWebサーバーの構成資料で、SiteGuard Server Editionの導入先を洗い出します。Apache版、Nginx版、IIS版、FreeBSD向けの区別と、Update番号まで含む版を記録します。委託運用なら、運用担当者に同じ情報の回答を依頼してください。
- 導入先ごとに統計機能の設定を確認します。管理画面の具体的な項目名や操作経路は資料には書かれていません。製品の設定資料や運用担当者を通じて、実際の有効・無効を確認し、初期設定のままかどうかを推測で埋めないでください。
- 対象サーバーの運用担当者とサービス責任者に、悪用が確認されていることを今日共有します。直接サポート契約がある場合は、2026年9月29日の通知と対応記録を照合し、未対応の導入先を特定します。
- 開発者の修正情報を確認し、更新する版と作業日時を決めます。更新が難しい場合は、提供パッチが自社の版に適用できるかを確認します。完了後は、適用した版またはパッチ、実施日、確認担当者を記録し、未対応のサーバーが残っていないかを照合してください。
