EGセキュアソリューションズ株式会社が提供するウェブサーバー向けセキュリティソフト「SiteGuard Server Edition」に、OSコマンドインジェクションの脆弱性（CVE-2026-106931）が存在することが2026年10月14日に公表されました。この脆弱性を悪用されると、製品が動作するサーバー上でroot権限またはSYSTEM権限により任意のOSコマンドを実行される可能性があります。さらにEGセキュアソリューションズ株式会社は、本脆弱性の悪用を既に確認しているとしており、JPCERT/CCも国内で広く利用されている製品であるとして注意喚起（JPCERT-AT-2026-0032）を発行しています。該当製品を利用している企業・組織のシステム管理者は、至急状況を確認し対応を進める必要があります。
SiteGuard Server Editionとはどんな製品か
SiteGuard Server Editionは、EGセキュアソリューションズ株式会社が提供するウェブサーバー向けのセキュリティソフトで、Apache、Nginx、IISといった主要なウェブサーバーソフトウェアに対応し、SQLインジェクションやクロスサイトスクリプティングなどの攻撃を検知・防御する製品として、国内の多くの企業・組織のウェブサイト運用基盤で利用されています。JPCERT/CCが今回あえて注意喚起を発行している背景にも、この製品が国内で広く使われているという利用実態があります。自社のウェブサーバーに同製品が導入されているかどうかが分からない場合は、まずサーバー管理者やインフラ担当部署に確認を取ることが対応の第一歩になります。
脆弱性の概要と影響を受ける製品
| 項目 | 内容 |
|---|---|
| CVE番号 | CVE-2026-106931 |
| 脆弱性の種類 | OSコマンドインジェクション |
| 公表日 | 2026年10月14日 |
| 公表元 | EGセキュアソリューションズ株式会社 |
| 想定される影響 | root権限またはSYSTEM権限による任意のOSコマンドの実行 |
| 悪用状況 | 悪用を確認済み（EGセキュアソリューションズ株式会社の発表による） |
| 参考情報 | Japan Vulnerability Notes JVN#88474777 |
影響を受ける具体的なバージョンは次のとおりです。
| 対象製品・エディション | 影響を受けるバージョン |
|---|---|
| Apache版、Nginx版、IIS版 | SiteGuard Server Edition Ver2.20以降かつVer8.00 Update5より前 |
| FreeBSD Apache版、Nginx版 | SiteGuard Server Edition Ver2.20以降かつVer7.00 Update6より前 |
| 例外 | IIS版のVer3.10からVer4.00 Update4は本脆弱性の影響を受けない |
なお、本脆弱性は当該製品でデフォルトで有効となっている「統計機能」が有効な場合に影響を受けます。設定を確認したことがない場合は、有効なままになっている可能性が高いと考えられます。対象バージョンの範囲が広く、長期間にわたって提供されてきたバージョンが含まれているため、「数年前に導入してから設定を見直していない」というようなサーバーほど、一度立ち止まってバージョンと設定を確認する価値があります。
OSコマンドインジェクションという攻撃の危険性
OSコマンドインジェクションは、アプリケーションが外部から受け取った入力値をそのままOSのコマンドとして実行してしまう処理に不備がある場合に発生する脆弱性の一種です。攻撃者は、本来想定されていないコマンドを混入させることで、サーバー上で任意の処理を実行させることができます。今回のケースのようにroot権限やSYSTEM権限で実行されてしまう場合、ファイルの閲覧・改ざん・削除、新たな侵入経路の設置、他システムへの横展開など、被害がサーバー1台にとどまらず組織全体に広がる危険性があります。セキュリティ対策ソフト自体にこの種の脆弱性が存在していたという点も、今回の事案の特徴であり、対策ソフトだからといって無条件に安全とは限らないことを示す事例といえます。
深刻度と悪用状況
公式発表の時点では、本脆弱性についてCVSSスコアは明記されていません。深刻度の数値的な詳細については、ベンダーのセキュリティアドバイザリを確認してください。
一方で、JPCERT/CCはこの脆弱性に関する情報を「注意喚起」として発行しており、影響の内容もroot権限またはSYSTEM権限による任意のOSコマンド実行という、サーバーの完全な制御を奪われかねないレベルのものです。さらにEGセキュアソリューションズ株式会社は本脆弱性の悪用を既に確認しているとしています。CVSSスコアの数値が不明であっても、「悪用が確認されている」「権限奪取につながる」という2点だけで、対応を後回しにすべきでない脆弱性であることは明らかです。対象製品を利用している場合は、優先度を最高に設定して対応を進めてください。
ベンダーはどんな修正を行ったか
EGセキュアソリューションズ株式会社は、本脆弱性を修正したバージョンへのアップデートを推奨しています。前述のとおり、Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSD Apache版・Nginx版はVer7.00 Update6が、本脆弱性に対応したバージョンとして案内されています。
また、業務上の都合などでただちにバージョンアップへ対応することが難しい利用者に向けて、統計処理の対象となるファイルを差し替えるパッチも別途提供されています。アップデートとパッチのどちらを選ぶ場合でも、適用手順や修正の技術的な詳細は公式情報に記載されていないため、ベンダーが公開している最新のセキュリティアドバイザリを必ず確認してください。複数のサーバーに同製品を導入している場合は、台数分の作業が発生することを踏まえ、優先順位をつけて計画的に進めることも重要です。
今すぐやるべき対策手順
- 手順1：バージョン確認 利用しているSiteGuard Server Editionのエディション（Apache版／Nginx版／IIS版／FreeBSD版）とバージョンを確認し、対象バージョンに該当するか確認する。
- 手順2：統計機能の有効・無効を確認 本脆弱性はデフォルトで有効な「統計機能」が有効な場合に影響を受けるため、現在の設定状況を確認する。
- 手順3：侵害有無の確認と記録の保全 アップデートを実施すると侵害の痕跡が削除される可能性があるため、アップデート前にウェブ管理画面上で「診断情報」を取得し、攻撃痕跡を保全する。
- 手順4：アップデートまたはパッチの適用 対象バージョンに該当する場合は、修正済みバージョンへのアップデート、またはベンダー提供のパッチを適用する。
- 手順5：回避策の適用（アップデートが困難な場合） ただちにアップデートできない場合は、統計機能を無効化することで本脆弱性の影響を回避できる。無効化の具体的な手順はベンダーの案内を確認する。
これらの手順は、担当者が1人で確認するよりも、サーバー管理者・インフラ担当・セキュリティ担当が連携してチェックリスト化して進める方が漏れを防ぎやすくなります。特に複数部署でサーバーを個別に管理している組織では、どのサーバーに同製品が入っているかの全体像を把握すること自体が最初のハードルになることもあるため、資産管理台帳やサーバー構成情報の確認から始めることをおすすめします。
よくある質問
Q1. 統計機能を無効化すれば対応は完了ですか？
A1. 統計機能の無効化はあくまで回避策であり、脆弱性自体を修正するものではありません。可能な限り早期に修正済みバージョンへアップデートすることが推奨されています。詳細はベンダーのセキュリティアドバイザリを確認してください。
Q2. すでに攻撃を受けているかどうかはどうすれば分かりますか？
A2. 公式情報には具体的な侵害調査の手順は記載されていません。ただし、アップデートによって侵害の痕跡が削除される可能性があるため、ウェブ管理画面で取得できる「診断情報」をアップデート前に必ず保全することが案内されています。詳しい調査方法はベンダーの最新情報を確認してください。
Q3. 自社がIIS版のVer3.10からVer4.00 Update4を使っている場合も対応は必要ですか？
A3. 公式情報によれば、このバージョン範囲のIIS版は本脆弱性の影響を受けないとされています。ただし、将来的に別のバージョンへ移行する予定がある場合などは、移行先が対象バージョンに該当しないか改めて確認しておくと安心です。
まとめ
SiteGuard Server Editionに見つかったOSコマンドインジェクションの脆弱性（CVE-2026-106931）は、root権限またはSYSTEM権限で任意のコマンドを実行されるおそれがあり、すでに悪用も確認されています。対象バージョンを利用している場合は、まず自社の製品バージョンと統計機能の設定状況を確認し、侵害の痕跡を保全した上で、修正済みバージョンへのアップデートまたはベンダー提供のパッチ適用を速やかに実施してください。アップデートが難しい場合でも、統計機能の無効化という回避策だけは今すぐ検討すべきです。セキュリティ対策ソフト自体が攻撃の起点になり得るという今回の事案を機に、自社で利用している他の対策ソフトについても、バージョン管理体制を一度見直しておくとよいでしょう。
