ウェブサイトを攻撃から守るソフト「SiteGuard Server Edition」に、サーバー上で最高権限の任意のOSコマンドを実行されるおそれのある欠陥（CVE-2026-106931）が見つかった。開発元のEGセキュアソリューションズ（東京都港区）が10月14日に公表し、すでに悪用を確認していると説明した。国内で脆弱性情報を扱うJPCERTコーディネーションセンター（JPCERT/CC）も同日、注意喚起を出した。米サイバーセキュリティ・インフラ安全保障庁（CISA）は20日、悪用が確認された脆弱性の目録にこの欠陥を加えた。欠陥は初期設定で有効になっている統計機能にあり、同社は修正版への更新か、パッチの適用を求めている。
ウェブサーバーに組み込む防御ソフト
SiteGuardは、EGセキュアソリューションズが「純国産WAF」として販売する製品群の名前だ。WAF（ウェブ・アプリケーション・ファイアウォール）は、ウェブサイトに届く通信を調べ、攻撃とみられるものを止める仕組みを指す。製品群には、通信の経路上に置くゲートウェイ型、クラウドで提供する型と並んで、今回欠陥が見つかったホスト型のServer Editionがある。
同社の製品ページによると、Server EditionはウェブサーバーのApache、Nginx、IISにモジュールとして組み込んで動かすソフトで、専用の機器を必要としない。データベースを不正に操作する「SQLインジェクション」や、閲覧者のブラウザーで不正なスクリプトを動かす「クロスサイトスクリプティング」などの攻撃を検出して防ぐ。攻撃の検出状況を集計し、グラフで示す統計・レポートの機能も備えている。今回の欠陥はこの統計機能にあった。
JPCERT/CCは注意喚起で、この製品が国内で広く利用されていることを確認していると記した。
EGセキュアソリューションズは2008年4月、HASHコンサルティングとして設立された。ウェブアプリケーションの安全を専門とする会社で、現在は東証プライム上場のイー・ガーディアンが全株式を持つ。従業員数は2026年9月時点で71人だ。
初期設定の統計機能が原因
欠陥の種類は「OSコマンドインジェクション」（分類番号CWE-78）だ。外から渡した文字列が、サーバーの基本ソフト（OS）への命令としてそのまま実行されてしまう不具合を指す。開発元によると、悪用されると製品が動くサーバー上で、LinuxやFreeBSDなどの最高権限「root」、またはWindowsの最高権限「SYSTEM」で任意のOSコマンドが実行される可能性がある。
影響を受けるのは、Ver2.20以降のうち、修正版より前の版だ。統計機能が有効な場合に影響を受け、この機能は初期設定で有効になっている。IIS版のVer3.10からVer4.00 Update4は影響を受けない。
| 種類 | 影響を受ける版 | 修正版 |
|---|---|---|
| Apache版・Nginx版・IIS版（FreeBSDを除く） | Ver2.20以降、Ver8.00 Update5より前 | Ver8.00 Update5 |
| FreeBSDのApache版・Nginx版 | Ver2.20以降、Ver7.00 Update6より前 | Ver7.00 Update6 |
| IIS版のVer3.10〜Ver4.00 Update4 | 影響なし | ― |
出典: EGセキュアソリューションズ「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)」、JVN#88474777
開発元は、脆弱性の深刻度を示す共通の評価基準「CVSS」で、第4版の基本値を10点満点の8.5、第3版の基本値を7.8とした。CVSSを管理する国際団体FIRSTの仕様書では、7.0から8.9は4段階のうち上から2番目の「High（重要）」にあたる。
評価の内訳では、攻撃の経路を「ローカル」、攻撃者に必要な権限を「低」としている。FIRSTの仕様書は、ローカルを、攻撃者が対象のシステムに直接、あるいはSSHなどの端末接続を通じて入って欠陥を突く場合などと定義する。権限の「低」は、一般の利用者が持つ程度の権限を指す。評価の上では、サーバー上で一般の利用者程度の権限を持つ攻撃者が、最高権限まで得られる欠陥と位置づけられている。
契約者へ個別に通知し、2週間後に公表
開発元は公表に先立つ9月29日、直接のサポート契約がある顧客へ、欠陥の存在と対策を個別に知らせていた。広く公表したのは、その15日後の10月14日だ。同じ日に、JPCERT/CCと情報処理推進機構（IPA）が運営する脆弱性情報サイト「JVN」が情報を掲載し、JPCERT/CCは注意喚起（JPCERT-AT-2026-0032）を出した。開発元は告知の題名に「緊急」と付けた。
対策は2通りある。一つは修正版への更新で、FreeBSD以外のApache版、Nginx版、IIS版はVer8.00 Update5、FreeBSDのApache版とNginx版はVer7.00 Update6で直した。もう一つは、更新が難しい利用者向けのパッチで、統計処理の対象となるファイルを差し替える。このパッチは、サポートが終わった古い版にも提供している。
JPCERT/CCは、更新できない場合の回避策として、統計機能を無効にすれば欠陥の影響を避けられると案内している。無効にする手順などの詳細は、開発元が出す最新の情報を確かめるよう求めた。
米政府、目録に加え3日で対応期限
CISAは10月20日、この欠陥を「悪用が確認された脆弱性の目録（KEV）」に加えた。目録は、実際の攻撃で使われたことが確認された欠陥を一覧にしたものだ。CISAは、開発元の指示に従って対策を講じるよう求め、期限を3日後の10月23日とした。ランサムウェア（身代金要求型ウイルス）の攻撃に使われたかどうかは「不明」としている。
この期限は、CISAが出した拘束力のある運用指令「BOD 26-04」に基づく。指令は、米連邦政府の文民機関に対し、目録に載った欠陥をCISAが定める期間内に直すよう義務付けている。今回の項目には、指令に沿った「フォレンジック・トリアージ（侵害の有無を調べる初期調査）」が必要だとも記した。対策が無い場合は、製品の使用をやめるよう求めている。指令は、契約で定めがない限り民間の委託先には適用されない。
JPCERT/CCは10月8日、国内の組織で不正アクセスによる個人情報などの漏えいが相次いでいるとして、別の注意喚起（JPCERT-AT-2026-0030）を出し、23日に内容を追加した。一連の攻撃は一つの共通する欠陥を突くのではなく、標的ごとにさまざまな既知の欠陥を探って悪用を試みている可能性があるとしている。この注意喚起はSiteGuardを名指ししていない。経緯は「大規模漏えい相次ぎ、国と専門機関が3日で注意喚起 委託先の点検や不要データの消去を要求」で伝えた。
更新の前に「診断情報」を保存
開発元は告知の冒頭で、影響を受ける利用者を「Ver2.20 以降をお使いで、統計機能が有効（初期値は有効）なお客様」とまとめ、やることを「最新版へのアップデート、またはパッチの適用」と示した。そのうえで、更新の前に必ず「診断情報」をダウンロードして保管するよう、別の行を立てて求めている。
開発元は、更新やパッチの適用によって攻撃の痕跡が消える可能性があると注意を促している。このため、適用の前にウェブ管理画面の「診断情報」から「診断情報をダウンロード」を選び、取得した情報を保管するよう求めた。JPCERT/CCも、診断情報で痕跡を保全したうえで更新するよう案内し、対策とあわせて侵害の有無の調査を検討するよう呼びかけている。
利用者が確かめることは三つある。まず、使っている版がVer2.20以降で、表の修正版より前かどうか。次に、統計機能が有効になっているかどうか。初期設定のまま使っていれば有効になっている。該当すれば、診断情報を保存してから修正版へ更新するか、パッチを当てる。すぐに更新できなければ、統計機能を止めて影響を避ける。
問い合わせは、納品時に受け取った契約内容確認書に記載の窓口か、契約した販売店が受け付ける。JPCERT/CCも情報の提供を求めている。