最終更新：10 月 24 日 02:09（日本時間）
続報が出たら追記します。
すぐ見る：よくある疑問 ／ 管理を任せている会社 ／ 技術的な詳細 ／ 対象の版 ／ サーバーの管理者がやること ／ 経緯
ひとことで言うと
サイトを守るためのソフトに、サーバーを外から操作される弱点。すでに悪用されている（10 月 14 日公表）
- Web サイトへの攻撃を止めるためにサーバーに入れて使うソフト「SiteGuard Server Edition」に、弱点（脆弱性）が見つかった。すでに悪用が確認されている
- 悪用されると、そのサーバーを、いちばん強い管理者の権限で、外から好きに操作されるおそれがある
- 直った版への更新か、パッチで直せる。更新すると攻撃の跡が消えることがあるので、先に「診断情報」を保存しておく
どうすればいい？
よくある疑問と答え
-
自社のサイトは対象？
SiteGuard Server Edition を入れたサーバーだけが対象です。サーバーの管理を制作会社などに任せているなら、その会社に、使っているか・対応が済んだかを聞きます。
→ 任せている会社への聞き方 -
WordPress の「SiteGuard WP Plugin」も対象？
今回の発表には、対象として書かれていません。気になる場合は、開発元の最新の情報を確かめてください。
→ 対象の版と対象外 -
どの版が対象？
Ver2.20 以降で、Ver8.00 Update5 より前の版です（FreeBSD 版は Ver7.00 Update6 より前）。統計機能が有効なときに影響を受けます。
→ 版の早見表 -
何をすればいい？
診断情報を保存してから、直った版に更新するかパッチを当てます。すぐにできないときは、統計機能を止めると影響を避けられます。
→ 管理者がやる順番 -
どれくらい危ない？
すでに悪用が確認されていて、開発元は「緊急」として公表しました。深刻度の基本値は 8.5（CVSS 4.0）です。
→ 技術的な詳細 - もう攻撃されていないか確かめるには？ 保存した診断情報をもとに、販売店やサポート窓口に相談します。JPCERT/CC も、対策とあわせて調べることを呼びかけています。
詳しくは：対象の版 ／ サーバーの管理者がやること ／ 管理を任せている会社が見直すこと
この記事では、SiteGuard Server Edition の脆弱性（CVE-2026-106931）について、開発元の EGセキュアソリューションズの公式の発表（10 月 14 日）と、JPCERT/CC の注意喚起だけをもとに、対象の版と、サーバーの管理者・管理を任せている会社がやることを整理します。
何が起きたか
10 月 14 日の発表で分かっていることです。WAF（Web サイトへの攻撃の通信を見分けて止める仕組み）「SiteGuard シリーズ」を提供する EGセキュアソリューションズ株式会社が、サーバーに入れて使う型の「SiteGuard Server Edition」に、脆弱性があると公表しました。番号は CVE-2026-106931 です。
弱点があるのは、製品の「統計機能」です。悪用されると、この製品が動いているサーバーで、外からサーバーへの命令（OS コマンド）を勝手に実行されるおそれがあります。開発元は、すでに悪用が確認されているとしています。
国内のセキュリティ事故への対応の調整や注意喚起を担う JPCERT/CC も、同じ日に注意喚起を出しました。JPCERT/CC は、この製品が国内で広く使われていることを確かめたとしています。そのうえで、影響を受ける製品を使っている場合は、対策と、攻撃を受けていないかの調査を検討するよう呼びかけています。
サーバーの管理を任せている会社がやること
自社のホームページのサーバーを、制作会社や保守の会社に任せている場合です。自社でこの製品を入れた覚えがなくても、任せている会社が入れていることはあります。次のことを聞いて、答えを記録しておきます（この記事での整理）。
- 自社のサーバーで、SiteGuard Server Edition を使っているか
- 使っているなら、対象の版か。対象なら、診断情報を保存したうえで更新やパッチが済んだか
- 攻撃を受けていないかを調べたか。調べるなら、いつまでに、だれが行うか
ひな形
管理を任せている会社への問い合わせの例（この記事での整理）
いつもお世話になっております。10 月 14 日に公表された SiteGuard Server Edition の脆弱性（CVE-2026-106931）について、確認させてください。弊社のサーバーで同製品をお使いでしょうか。お使いの場合は、対象の版かどうか、診断情報の保存と更新（またはパッチ）が済んでいるか、攻撃を受けていないかの確認の予定を教えてください。よろしくお願いいたします。
技術的な詳細（サーバーの担当者向け）
ここからは、SiteGuard Server Edition を入れたサーバーを管理している担当者・エンジニア向けです。まず、開発元の発表と JPCERT/CC の注意喚起に書かれた脆弱性の中身を並べます。
| 観点 | 発表の内容 |
|---|---|
| 識別子 | CVE-2026-106931（JVN#88474777） |
| 脆弱性の種類 | OS コマンドインジェクション |
| 影響を受ける機能 | 統計機能（初期値は有効）。統計機能が有効なときに影響を受ける |
| 想定される影響 | 製品が動いているサーバーで、root または SYSTEM の権限で任意の OS コマンドを実行される |
| 深刻度 | CVSS 4.0 の基本値 8.5、CVSS 3.0 の基本値 7.8。開発元の区分は「緊急」 |
| 悪用の状況 | 悪用を確認済み |
| 対策 | 修正版への更新、または統計処理の対象のファイルを差し替えるパッチ（サポートが終わった版を含む） |
| 回避策 | 統計機能を無効にする（JPCERT/CC の案内） |
| 注意 | 更新やパッチの適用で攻撃の痕跡が消える可能性がある。適用の前に診断情報を取得・保管する |
悪用の状況です。EGセキュアソリューションズによると、この脆弱性はすでに悪用が確認されています。root / SYSTEM の権限で任意のコマンドを実行されると、WAF が守っている Web サイトのファイルやデータだけでなく、サーバー全体を操作されるおそれがあります（この記事での整理）。
対象の版
EGセキュアソリューションズの発表のとおりです。Ver2.20 以降のうち、次の版が対象です。製品の統計機能が有効なときに影響を受けます（統計機能の初期値は有効）。
| 種類 | 対象の版 | 修正された版 |
|---|---|---|
| Apache 版・Nginx 版・IIS 版 | Ver2.20 以降で、Ver8.00 Update5 より前 | Ver8.00 Update5（FreeBSD を除く） |
| FreeBSD の Apache 版・Nginx 版 | Ver2.20 以降で、Ver7.00 Update6 より前 | Ver7.00 Update6 |
| 対象外 | IIS 版の Ver3.10 から Ver4.00 Update4 は、この脆弱性の影響を受けない | |
今回の EGセキュアソリューションズの発表と JPCERT/CC の注意喚起が対象として挙げているのは、SiteGuard Server Edition だけです。名前の似た WordPress 用のプラグイン「SiteGuard WP Plugin」や、同じシリーズのほかの製品は、どちらの発表にも対象として書かれていません。気になる場合は、開発元の最新の情報を確かめてください。
サーバーの管理者がやること
EGセキュアソリューションズと JPCERT/CC の案内です。更新やパッチを当てると、攻撃の痕跡が消える可能性があるとされています。順番に気をつけてください。
- 使っている SiteGuard Server Edition の種類と版、統計機能が有効かを確かめ、上の表で対象かを見る
- 対象なら、更新やパッチの前に、ウェブ管理画面の［診断情報］→［診断情報をダウンロード］で診断情報を取り、保管する
- 修正版へ更新する。更新が難しい場合のために、統計処理の対象のファイルを差し替えるパッチも用意されている（サポートが終わった版を含む）
- すぐに更新もパッチもできないときは、統計機能を無効にすると、この脆弱性の影響を避けられる（JPCERT/CC の案内。手順は開発元の最新の情報を確かめる）
- JPCERT/CC は、対策とあわせて侵害の調査の実施を検討するよう呼びかけている。保管した診断情報をもとに、販売店やサポート窓口に相談する（相談先は、納品時の契約内容確認書か、契約した販売店で確かめる）
次に読む：サーバーの OS（Linux カーネル）で見つかった未修正の脆弱性 ／ 攻撃を受けたかもしれないときの IPA の相談窓口
経緯
| 日付 | できごと |
|---|---|
| 2026 年 10 月 14 日 | EGセキュアソリューションズが脆弱性（CVE-2026-106931）を公表（緊急）。同じ日に JPCERT/CC が注意喚起を出した。脆弱性の情報は JVN（JVN#88474777）にも載っている |
| 9 月 29 日 | EGセキュアソリューションズが、サポート契約のある利用者に、脆弱性と対策（更新・個別のパッチ）を一人ずつ知らせた |
自社で見直すこと
今回の発表から読み取れることを、サーバーの管理を制作会社や保守の会社に任せている中小企業向けにまとめます（この記事での整理）。攻撃を防ぐための製品でも、脆弱性が見つかることがあります。今回は、開発元が公表する前に、サポート契約のある利用者へ個別に知らせていました。
- サーバーに入っているものを把握する 自社のホームページのサーバーに、WAF などどんな製品が入っていて、誰が更新しているかを、任せている会社に聞いて書き出しておく。
- サポート契約と連絡先を確かめる 開発元からの個別の知らせは、サポート契約のある利用者に届く。契約が切れていないか、知らせが届く宛先が今も使われているかを確かめる。
- 更新の前に痕跡を残す 今回のように、更新すると攻撃の痕跡が消えることがある。急いで更新する前に、ログや診断情報を残す手順を、任せている会社と決めておく。
ほかの最近の出来事は 「最近のサイバー攻撃と対策」、ホームページの安全対策の基本は 「ホームページのセキュリティ対策」、続けて備える体制の考え方は 「ホームページの保守」 にまとめています。
作り方は 3 つ｜完成済み・自作・オーダーメイド
作り方はどれでも選べます。優劣ではなく、向いているケースが違います。
- オーダーメイドで作る（制作会社に依頼） 要件を渡せば設計から任せられます。自社に合わせて一から作りたい場合や、撮影・原稿まで任せたい場合に向きます。SITE PICK でもオーダーメイド制作の相談を受け付けています。
- 自分で作る（自作） 費用は抑えられます。そのかわり、サーバーに入れた製品の脆弱性の情報を追い、更新や痕跡の保管を、公開後もずっと自分で続けることになります。
- 完成済みのサイトから選ぶ（完成済み） 構成・更新の仕組み・入口が組まれた状態を実物で確かめ、社名・写真・文章を差し替えて公開します。完成形を先に確認してから決めたい場合に向きます。この記事の集計は、その実際のサイトのデータです。
