2026-10-24
SiteGuard Server Edition脆弱性 CVE-2026-106931（悪用確認）｜対象の確かめ方と対策
EGセキュアソリューションズは2026年10月14日、ホスト型WAF「SiteGuard Server Edition」の統計機能にOSコマンドインジェクションの脆弱性CVE-2026-106931があり、すでに悪用が確認されていると公表した。悪用されると、製品が動くサーバー上でrootまたはSYSTEM権限で任意のOSコマンドが実行されるおそれがある。対象はVer2.20以降で統計機能が有効（初期値は有効）な環境で、Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSD Apache版・Nginx版はVer7.00 Update6より前。IIS版のVer3.10からVer4.00 Update4は対象外。修正版はVer8.00 Update5とVer7.00 Update6で、更新が難しい場合はサポート終了版を含むパッチが提供されている。同社のCVSS評価は攻撃元区分がローカル、必要な特権レベルが低（v3.0で7.8、v4.0で8.5）。JPCERT/CCは国内で広く使われていることを確認したとして注意喚起を出し、統計機能の無効化で影響を回避できるとした。米CISAは10月20日に悪用が確認された脆弱性の一覧（KEV）に加え、対応期限を10月23日とした。当サイトの結論：Server Editionを運用しているなら、バージョンと統計機能を今日確かめ、更新の前に診断情報を保存してから、修正版かパッチを当てる。