その他のCMS・ECSiteGuardOSコマンドの実行悪用確認国内注意喚起（JPCERT/CC）

SiteGuardの脆弱性CVE-2026-106931｜Server Editionで悪用確認・修正版と回避策

公開 2026-11-02公表 2026-10-14資料確認 2026-11-02その他のCMS・ECの脆弱性 2件のまとめ

その他のCMS・EC　/　公表 2026-10-14

製品が動くサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドを実行されるおそれ

KEV米CISAが悪用を確認

国内JPCERT/CCの注意喚起

01　使われている所会社のWebサイトのWebサーバー（Apache・Nginx・IIS）に組み込むWAF

対象：SiteGuard Server Edition（Apache版・Nginx版・IIS版・FreeBSD Apache版・FreeBSD Nginx版）（CVE-2026-106931（JVN#88474777））

02　対象と修正版Ver2.20以降で、Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSD版はVer7.00 Update6より前（統計機能が有効なとき。初期値は有効）

修正版　Ver8.00 Update5（FreeBSD版はVer7.00 Update6）。更新が難しい場合のパッチあり

03　次にやること自社で確かめる順番

1　診断情報を取得して保管する

2　最新版に上げるかパッチを当てる（できなければ統計機能を無効にする）

出典　EGセキュアソリューションズ：SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)（2026-10-14）

要点を、上司や保守の会社へのメール・チャットに貼れる文章でコピーします

SiteGuard Server Editionの脆弱性CVE-2026-106931は、統計機能のOSコマンドインジェクションで、製品が動くサーバー上でrootまたはSYSTEM権限で任意のOSコマンドを実行されるおそれがあり、開発元のEGセキュアソリューションズが悪用を確認しています。Ver2.20以降でVer8.00 Update5（FreeBSD版はVer7.00 Update6）より前が対象です。更新で痕跡が消えることがあるため、先に「診断情報」を保管してから、最新版に上げるかパッチを当てます。[1][2]

この記事の要点

統計機能にOSコマンドインジェクションがあり、rootまたはSYSTEM権限で任意のOSコマンドを実行されるおそれがあります。統計機能は初期値で有効です。[1]
開発元が悪用を確認し、JPCERT/CCが注意喚起を出しました。米CISAも10月20日にKEVへ追加しています。[1][2][4]
Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSD版はVer7.00 Update6で直ります。更新が難しい場合のパッチは、サポートが終わった版にもあります。[1]
更新の前に、ウェブ管理画面で「診断情報」をダウンロードして保管します。すぐ更新できなければ、統計機能を無効にすれば回避できます。[1][2]

01SiteGuard Server Editionの脆弱性で起きること

CVE-2026-106931は、SiteGuard Server Editionの統計機能にあるOSコマンドインジェクション（CWE-78）で、悪用されると製品が動くサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドを実行されるおそれがあります。開発元のEGセキュアソリューションズは2026年10月14日に公表し、深刻度を「緊急」としています。[1][3]

SiteGuard Server Editionは、Webサーバーに組み込んで使うホスト型のWAFです。CVSSの基本値はv4.0で8.5、v3.0で7.8です。いずれも攻撃元区分はローカル、必要な特権は「低」と評価されています。[1][3]

初期値で有効な統計機能にOSコマンドインジェクションがあり、Webサーバー上でrootまたはSYSTEM権限のコマンドを実行される

攻撃者攻撃元区分はローカル、必要な特権は「低」

Webサーバーに組み込んだSiteGuard Server Edition

統計機能OSコマンドインジェクション（CWE-78）。初期値で有効

悪用されると

任意のOSコマンドを実行されるrootまたはSYSTEM権限で。深刻度「緊急」

出典　EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」（2026年10月14日）

02対象になる構成（統計機能）

統計機能が有効な場合に影響を受け、統計機能は初期値で有効です。設定を変えていなければ対象と考えます。[1]

IIS版のVer3.10からVer4.00 Update4は、この脆弱性の影響を受けません。[1][2]

03悪用の状況

EGセキュアソリューションズは、この脆弱性の悪用を確認しています。サポート契約のある利用者には、2026年9月29日に個別に知らせていました。[1]修正版のVer8.00 Update5とVer7.00 Update6（FreeBSD版）も、同じ9月29日にリリースされています。[7]

JPCERT/CCは2026年10月14日に注意喚起を出し、この製品が国内で広く使われていることを確認しているとして、対策と侵害調査を検討するよう求めています。[2]米CISAは2026年10月20日（米国時間）にKEVへ追加し、更新の前に侵害の有無を調べる対象（Forensic Triage）にも指定しました。[4][5]

開発元は公表の約2週間前にサポート契約のある利用者へ知らせ、公表の6日後にKEVへ追加された

9月29日

開発元がサポート契約のある利用者に個別に通知同じ日に修正版（Ver8.00 Update5・Ver7.00 Update6）をリリース

10月14日

EGセキュアソリューションズが公表修正版とパッチを提供

10月14日

JPCERT/CCが注意喚起国内で広く使われていることを確認し、対策と侵害調査を求める

10月20日（米国時間）

米CISAがKEVへ追加

KEV米連邦政府機関の対応期限は10月23日

出典　EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」（2026年10月14日）

04攻撃を受けていないかの確認

アップデートやパッチを当てると、攻撃の痕跡が消える可能性があります。EGセキュアソリューションズは、当てる前に「診断情報」を取得して保管するよう案内しています。[1][2]

アップデート・パッチの前に、ウェブ管理画面の［診断情報］→［診断情報をダウンロード］で診断情報を取得し、保管する（アップデートで攻撃の痕跡が消えることがある）

保管した診断情報は、侵害の調査を頼むときに渡せるようにしておきます。JPCERT/CCは、対策とあわせて侵害調査の実施を検討するよう求めています。[2]

侵害の確認チェックリスト

アップデート・パッチの前に、ウェブ管理画面の［診断情報］→［診断情報をダウンロード］で診断情報を取得し、保管する（アップデートで攻撃の痕跡が消えることがある）

チェックはこのブラウザにだけ残ります。保守の会社への依頼や作業の記録にも使えます。

緊急の場合AI攻撃リスク即点検サービス公開情報と、契約後すぐに用意できるアクセスの記録から先に調べ、被害や狙われやすい構成がないかを早く確かめます。

無料で相談するサービスの詳細を見る

05対象バージョンと修正版

Ver2.20以降で、Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSDのApache版・Nginx版はVer7.00 Update6より前が対象です。[1][2][6]

製品	対象	修正版
Apache版・Nginx版	Ver2.20以降、Ver8.00 Update5より前	Ver8.00 Update5
IIS版	Ver2.20以降、Ver8.00 Update5より前（Ver3.10〜Ver4.00 Update4は対象外）	Ver8.00 Update5
FreeBSD Apache版・FreeBSD Nginx版	Ver2.20以降、Ver7.00 Update6より前	Ver7.00 Update6

Apache・Nginx・IIS版はVer8.00 Update5、FreeBSD版はVer7.00 Update6で直り、IIS版の一部の古い版は対象にならない

Apache版・Nginx版

対象Ver2.20以降、Ver8.00 Update5より前

対象外なし

修正版Ver8.00 Update5

IIS版

対象Ver2.20以降、Ver8.00 Update5より前

対象外Ver3.10〜Ver4.00 Update4

修正版Ver8.00 Update5

FreeBSD Apache版・Nginx版

対象Ver2.20以降、Ver7.00 Update6より前

対象外なし

修正版Ver7.00 Update6

出典　EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」（2026年10月14日）

06版の確かめ方とアップデートの手順、頼むときに伝えること

いまの版を確かめます。版の確かめ方を書いた管理者用のマニュアルは、EGセキュアソリューションズのサポートページの「ダウンロード」にあり、契約内容確認書に書かれたサポートID・パスワードでログインして入手します。[8]版ごとのリリース日とサポートの状況は、公開の「サポートバージョン情報」で確かめられます。[7]
ウェブ管理画面の［診断情報］→［診断情報をダウンロード］で診断情報を取得し、保管します。[1]
開発元の情報をもとに、最新版（上の表の修正版）にアップデートします。最新版は同じダウンロードのページから入手します。[1][8]バージョンアップが難しい場合は、統計処理の対象ファイルを差し替えるパッチを当てます。パッチの入手先は告知に書かれていないため、サポート窓口で確かめます。[1]
不明な点は、サポート窓口かJPCERT/CCに問い合わせます。サポート窓口は、納品時の契約内容確認書か、購入した販売店で確かめます。[1]
保守の会社・制作会社に頼むときは、SiteGuardを入れているサーバーとWebサーバーの種類（Apache・Nginx・IIS、FreeBSDか）、いまの版、診断情報を先に保管すること、修正版かパッチのどちらで対応するかを伝えます。

07すぐにアップデートできないとき

統計機能を無効にすれば、この脆弱性の影響を回避できます。無効にする手順は公開されておらず、JPCERT/CCは開発元の最新の情報で確かめるよう案内しています。[2]バージョンアップが難しい利用者向けには、統計処理の対象ファイルを差し替えるパッチも出ています。[1]

08サポートが終わった版を使っているとき

統計処理の対象ファイルを差し替えるパッチは、サポートが終わった版も対象に提供されています。[1][3]

サポートバージョン情報では、Ver6.00以前はすでにサポートが終わっています。Ver7.00〜Ver7.00 Update3と、IIS版のVer7.00 Update4・Update5は、2026年11月30日にサポートが終わります。Ver8.00系と、FreeBSD版のVer7.00 Update4〜Update6は、2026年11月2日の時点で「現行」です。[7]

11月30日にサポートが終わる版を使っている場合は、パッチで済ませるか、Ver8.00 Update5へ上げるかを、サポートの期限とあわせて決めます。