国産WAF SiteGuardにOSコマンド実行の脆弱性、悪用確認

EGセキュアソリューションズの SiteGuard Server Edition に、サーバー上で管理者権限のコマンドを実行される脆弱性が見つかりました。悪用が確認されています。更新の前に診断情報を保存してください。

脆弱性の概要

重要CVSS8.5

影響を受ける製品
製品	対象の版	修正版
SiteGuard Server Edition Apache版・Nginx版・IIS版	Ver2.20 以降、Ver8.00 Update5 より前	Ver8.00 Update5
SiteGuard Server Edition FreeBSD Apache版・Nginx版	Ver2.20 以降、Ver7.00 Update6 より前	Ver7.00 Update6

やること

SiteGuard Server Edition は、Web サーバーに入れて使う国産の WAF（Web サイトへの攻撃を防ぐ仕組み）です。使っている場合は、次の順で対応してください。

EGセキュアソリューションズは10月14日に、CVE-2026-106931 を公表しました。OS コマンドインジェクションと呼ばれる欠陥で、製品が動くサーバー上で root または SYSTEM の権限でコマンドを実行されるおそれがあります。開発元は悪用を確認しています。

CVSS は v4.0 で 8.5、v3.0 で 7.8 です。JVN は深刻度を「緊急」としています。サポート契約のある顧客には、9月29日に個別の案内が出ていました。

JPCERT/CC は、国内で広く使われている製品だとして注意喚起を出しました。対象の場合は対策に加えて、侵害の有無の調査も検討するよう呼びかけています。米国の CISA も10月20日に、悪用が確認された脆弱性の一覧に載せています。

Ver2.20 以降で、統計機能が有効になっているものが対象です。統計機能は初期値で有効です。IIS版の Ver3.10 から Ver4.00 Update4 は影響を受けません。JPCERT/CC は、統計機能を無効にすると影響を回避できるとしています。

自社で確かめること

SiteGuard を入れているか確かめる自社の Web サーバーに SiteGuard Server Edition が入っているかを確認してください。サーバーの管理を委託している場合は、委託先に問い合わせてください。

更新の前に診断情報を保存する更新すると攻撃の痕跡が消えることがあります。Web 管理画面の診断情報から、ダウンロードして保管してから更新してください。

統計機能の設定を確かめる影響は統計機能が有効なときに出ます。初期値は有効です。すぐに更新できない場合の扱いは、開発元の案内に従ってください。

自社で確かめるのが難しい場合はCyberScope のセキュリティ診断（3万円から）