対象：国産のホスト型WAF（Webサーバーに組み込んで使う、Webアプリへの攻撃を防ぐ仕組み）「SiteGuard Server Edition」を、自社のサーバーやVPSで運用している担当者。本記事は開発元の告知、JVN、JPCERT/CC、米CISAの公開情報にもとづく解説で、攻撃の手順は扱いません。
続報待ち：この記事は公式発表に合わせて更新します
2026年10月24日20時（日本時間）時点まだ分かっていないこと
- 悪用が始まった時期と、攻撃した者
- 被害を受けた組織の数
- SiteGuard Liteなど、Server Edition以外の製品の扱い
- 統計機能を無効にする手順（開発元の告知には記載がない）
開発元は10月14日に告知を出し、同日にJVNとJPCERT/CCが情報を公開しました。米CISAは10月20日にKEVに加えています。悪用が始まった時期、攻撃した者、被害の数は公表されていません。告知が更新されたら、この記事を更新します。
今日やること（Server Editionを運用している場合）
バージョン・版・統計機能を確かめる
使っている版（Apache版、Nginx版、IIS版、FreeBSD Apache版・Nginx版）とバージョンを確かめ、下の早見表で対象かどうかを判断します。あわせて、統計機能が有効かを確かめます。開発元によると、統計機能の初期値は有効です。設定を変えた覚えがなければ、有効と考えて進めます。
更新の前に、診断情報をダウンロードして保管する
開発元は、アップデートやパッチの適用で攻撃の痕跡が消える可能性があるとしています。ウェブ管理画面の［診断情報］から［診断情報をダウンロード］を実行し、サーバーの外に写しを保管します。複数のサーバーで動かしている場合は、すべてで取ります。
修正版に上げる
Apache版・Nginx版・IIS版はVer8.00 Update5（FreeBSDを除く）、FreeBSD Apache版・Nginx版はVer7.00 Update6で修正されています。
上げられない場合は、パッチを当てる
バージョンアップが難しい場合に向けて、開発元は統計処理の対象ファイルを差し替えるパッチを提供しています。サポートが終わったバージョンも対象です。入手はサポート窓口（契約内容確認書か、契約した販売店で確認できます）に問い合わせます。
どちらもすぐにできなければ、統計機能を無効にする
JPCERT/CCは、統計機能を無効にすれば影響を回避できるとしています。手順は開発元の最新情報で確かめます。無効にしても、修正版かパッチの適用は別に進めます（当サイトの判断）。
侵害の痕跡を確かめる
悪用が始まった時期は公表されていません。保存した診断情報とサーバーのログを見て、身に覚えのないプロセス、ファイル、アカウント、外向きの通信がないかを確かめます。確かめ方はサーバーが不正アクセスされたか調べる方法にまとめています。不審な点があれば、開発元のサポート窓口かJPCERT/CCに相談します。
自分が対象かの早見表
| 使っているもの | 対象か（開発元の告知より） | 目指す版 |
|---|---|---|
| Apache版・Nginx版・IIS版：Ver2.20以降、Ver8.00 Update5より前 | 統計機能が有効なら対象 | Ver8.00 Update5 |
| FreeBSD Apache版・Nginx版：Ver2.20以降、Ver7.00 Update6より前 | 統計機能が有効なら対象 | Ver7.00 Update6 |
| IIS版：Ver3.10からVer4.00 Update4 | 対象外 | 告知に記載なし |
| Ver2.20より前 | 影響範囲は「Ver2.20以降」とされている | 告知に記載なし |
| 統計機能を無効にしている | 統計機能が有効な場合に影響を受けるとされている | 修正版の適用を推奨（当サイトの判断） |
| サポートが終わったバージョン | 範囲に入っていれば対象 | パッチ（サポート終了版も対象） |
| SiteGuard Liteなど、ほかの製品 | 告知・JVN・JPCERT/CCに記載なし | 提供元（ホスティング事業者など）のお知らせを確認 |
Ver2.20より前の版やサポートが終わった版は、この脆弱性とは別の修正も受けていないおそれがあります。対象外に当たる場合でも、サポートが続いている版への移行を検討してください（当サイトの判断）。
1. 版
Apache・Nginx・IIS／FreeBSD
2. バージョン
Ver2.20以降で、修正版より前
3. 統計機能
有効なら対象（初期値は有効）
何が公表されたのか（開発元の告知より）
- CVE
- CVE-2026-106931（JVN#88474777）
- 種類
- OSコマンドインジェクション（CWE-78）。統計機能にある
- 深刻度
- CVSS v3.0で7.8、v4.0で8.5（開発元の評価）。攻撃元区分はローカル、必要な特権レベルは低、利用者の関与は不要
- 影響
- 製品が動くサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドが実行されるおそれ
- 対象
- Ver2.20以降で統計機能が有効な場合。Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSD Apache版・Nginx版はVer7.00 Update6より前
- 対象外
- IIS版のVer3.10からVer4.00 Update4
- 対策
- 修正版への更新。難しい場合は統計処理の対象ファイルを差し替えるパッチ（サポート終了版を含む）
- 悪用
- 開発元が、悪用を確認しているとしている
- 事前の通知
- サポート契約のある顧客には、2026年9月29日に個別に案内済み
JVNによると、この脆弱性は開発元自身がIPAに届け出たもので、JPCERT/CCが調整しました。JPCERT/CCは、この製品が国内で広く使われていることを確認しているとして、対策とあわせて侵害の調査の実施を検討するよう求めています。
米CISAは10月20日にCVE-2026-106931をKEVに加え、連邦政府機関の対応期限を10月23日としました。KEVでは、フォレンジック（侵害の調査）のトリアージが必要な対象としています。ランサムウェアでの使用は「不明」です。
「ローカル」「低い権限」の評価をどう読むか
開発元のCVSS評価では、攻撃元区分がローカル（AV:L）、必要な特権レベルが低（PR:L）です。インターネットから誰でも直接悪用できる、という評価ではありません。この評価は、サーバー上で何らかの低い権限を持っていることを前提とする値です（当サイトの読み方）。CISAのKEVの説明文は「攻撃者」とだけ書いていて、この条件には触れていません。
条件があっても、悪用はすでに起きている
開発元は悪用を確認しています。どのような経路で前提の権限が得られたのかは公表されていません。当サイトは、条件の付いた評価だからといって後回しにしないことを勧めます。
当サイトの見方では、この種の脆弱性は、Webアプリの別の脆弱性や漏れたアカウントで一般の権限を取られたあとに、サーバー全体の管理者権限へ上がる足がかりになりえます。WAFはWebアプリを守るために入れるものなので、WAF自身が管理者権限への入口になると、守りの前提が崩れます。
危ない運用
- WAFを入れたあと、WAF自身のバージョンを見ていない
- 統計機能を初期値のまま、使っているかも確かめていない
- 痕跡を残さずに、すぐ更新して作業を終える
- サーバー上の一般のアカウントや、Webアプリの権限を放置する
影響を小さくする運用
- WAFも、ほかのソフトと同じ更新の対象として管理する
- 使っていない機能は無効にする
- 更新の前に診断情報とログを保存し、痕跡を確かめる
- サーバーのアカウントとWebアプリの権限を最小にする
KEVに入った脆弱性を優先する考え方はCVEの直す順番の決め方（CVSS・EPSS・KEV）を参照してください。CVSSの値だけで後回しにすると、悪用が確認された脆弱性を取りこぼします。
SiteGuard Liteなどを使っている場合
開発元の告知、JVN、JPCERT/CCの注意喚起は、どれもSiteGuard Server Editionを対象として書かれています。SiteGuard Liteやほかの製品には触れていません。当サイトは、Liteが対象かどうかを判断できる公式の情報を確認できていません。
レンタルサーバーのWAF機能として使っている場合、WAFの更新は通常ホスティング事業者が行います。事業者のお知らせやサポート情報で、この脆弱性への対応を確かめてください。事業者側で問題が起きたときに利用者がすることは、レンタルサーバーが不正アクセスされたとき、利用者は何をすべきかにまとめています。
まだ分かっていないこと
| 項目 | 状態 |
|---|---|
| 悪用されている事実 | 確定（開発元、CISA） |
| 悪用が始まった時期・攻撃した者 | 記載なし |
| 被害を受けた組織の数 | 記載なし |
| 公開されている攻撃コード | 記載なし（告知・KEVとも） |
| SiteGuard Liteなどほかの製品の扱い | 記載なし |
| 統計機能を無効にする手順 | 開発元の告知に記載なし（JPCERT/CCは開発元の最新情報を確認するよう案内） |
日本国内でこの製品を使っている組織の数や名前は公表されていません。当サイトは推測で特定の組織を挙げません。
出典
- EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」（2026年10月14日） — eg-secure.co.jp
- JVN「JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性」（2026年10月14日） — jvn.jp
- JPCERT/CC「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起」（JPCERT-AT-2026-0032、2026年10月14日） — jpcert.or.jp
- 米CISA「Known Exploited Vulnerabilities Catalog」（CVE-2026-106931） — cisa.gov
更新履歴
2026-10-24：初版。開発元の告知、JVN、JPCERT/CCの注意喚起、米CISAのKEVにもとづく。
次に読む
- 優先順位の決め方：CVEの直す順番の決め方（CVSS・EPSS・KEV）
- 侵害の確かめ方：サーバーが不正アクセスされたか調べる方法
- レンタルサーバーを使っている場合：レンタルサーバーが不正アクセスされたとき、利用者は何をすべきか
- 同じ時期の緊急の脆弱性：PHP脆弱性 CVE-2026-109618・CVE-2026-109619
- 用語：バックドアとは ／ CVSSとは