SiteGuard Server Edition の統計機能で OS コマンドインジェクション（KEV・root/SYSTEM 権限）

情報取得日: 2026/10/20・本ページは公開情報の非公式まとめです

CVE ID	CVE-2026-106931
製品	EG Secure Solutions / SiteGuard Server Edition（Ver2.20 以降・修正版 Ver8.00 Update5 / FreeBSD 版 Ver7.00 Update6 未満）
CVSS	7.8（High） CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H
種別 (CWE)	CWE-78 OS コマンドインジェクション
登録／公開日	2026/10/20
KEV 期限	2026/10/23 まで（米国連邦機関向け目安）
推奨対応	ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。
出典	https://nvd.nist.gov/vuln/detail/CVE-2026-106931

概要

**国産の Web アプリケーションファイアウォール SiteGuard Server Edition に、OS コマンドインジェクションの欠陥がある。** 開発元の EG セキュアソリューションズの告知と JVN#88474777（いずれも2026年10月14日公開）によれば、悪用されると製品が動いているサーバー上で **root または SYSTEM 権限で任意の OS コマンドが実行される**。対象は **Ver2.20 以降で、統計機能が有効なもの**（統計機能は既定で有効）。IIS 版の Ver3.10〜Ver4.00 Update4 は対象外。 **評価値と悪用の状況。** CVSS 3.0 は **7.8 High**（AV:L/PR:L）、CVSS 4.0 は **8.5 High**（JPCERT/CC 採点）。開発元と JVN は**悪用を確認済み**としており、サポート契約のある顧客には9月29日に個別に通知していた。CISA は2026年10月20日に KEV へ収載した（是正期限 **2026年10月23日**）。ランサムウェアでの利用は「不明」。NVD の分析は Deferred（保留）で、NVD 独自の採点は無い。

クラウド／OS 別の対応状況

各ベンダー公式アドバイザリで確認できた事実に基づき整理しています。確認できていない項目は「情報確認中」と明記し、存在しないパッチ番号・バージョンは記載しません。

AWS / GCP / Azure / Linux いずれも対応区分は同じです: パッチあり（アプリ更新）下の表は環境ごとの補足です。

環境	対応状況	対応方法・備考
AWS (ECS/EC2)	パッチあり（アプリ更新）	EC2 上の Web サーバーに入れた SiteGuard Server Edition を Ver8.00 Update5 以上（FreeBSD 版は Ver7.00 Update6 以上）へ更新するか、開発元のパッチを当てる。更新の前に診断情報を保管する。 AWS から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。AWS WAF とは別製品で、AWS 側の対処では直らない。参照リンク
GCP	パッチあり（アプリ更新）	Compute Engine 上の SiteGuard Server Edition を修正版へ更新するか、開発元のパッチを当てる。 GCP から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。参照リンク
Azure	パッチあり（アプリ更新）	Azure VM 上の SiteGuard Server Edition（IIS 版を含む）を修正版へ更新するか、開発元のパッチを当てる。 Azure から本 CVE 個別の速報は確認できていない（2026-10-21 時点）。参照リンク
Linux	パッチあり（アプリ更新）	Linux 上の Apache / Nginx 版は Ver8.00 Update5 以上へ更新するか、開発元のパッチを当てる。 SiteGuard Server Edition は開発元の配布物で、Ubuntu / Red Hat / Debian の公式リポジトリの修正対象ではない。参照リンク

解決の方向性（パッチ／回避策／代替）

**修正版へ上げる。** 開発元の告知の修正版は次のとおり。 - **Apache / Nginx / IIS 版**: Ver8.00 Update5 - **FreeBSD の Apache / Nginx 版**: Ver7.00 Update6 **すぐ上げられない場合はパッチを当てる。** 開発元は、統計処理の対象ファイルを差し替えるパッチを提供しており、サポートが終了した版にも適用できるとしている。 **更新の前に証跡を残す。** 開発元は、更新やパッチ適用で攻撃の痕跡が消える可能性があるため、作業の前に管理画面の「診断情報」から診断情報をダウンロードして保管するよう求めている。KEV の要求アクションも CISA の「Forensics Triage Requirements」に従うことを求めている。 **完了条件**は、（1）全ての SiteGuard Server Edition が修正版以上か、パッチ適用済みであること、（2）作業前の診断情報を保管し、侵害の有無を確認したこと、の2点である。

よくある質問（CVE-2026-106931）

CVE-2026-106931（SiteGuard Server Edition）の影響は？

High（CVSS 7.8）に分類されるEG Secure Solutions SiteGuard Server Edition（Ver2.20 以降・修正版 Ver8.00 Update5 / FreeBSD 版 Ver7.00 Update6 未満）の脆弱性です。**国産の Web アプリケーションファイアウォール SiteGuard Server Edition に、OS コマンドインジェクションの欠陥がある。** 開発元の EG セキュアソリューションズの告知と JVN#88474777（いずれも2026年10月14日公開）によれば、悪用されると製品が動いているサーバー上で **root または SYSTEM 権限で任意の OS コマンドが実行される**。対象は **Ver2.20 以降で、統計機能が有効なもの**（統計機能は既定で有効）。IIS 版の Ver3.10〜Ver4.00 Update4 は対象外。 **評価値と悪用の状況。** CVSS 3.0 は **7.8 High**（AV:L/PR:L）、CVSS 4.0 は **8.5 High**（JPCERT/CC 採点）。開発元と JVN は**悪用を確認済み**としており、サポート契約のある顧客には9月29日に個別に通知していた。CISA は2026年10月20日に KEV へ収載した（是正期限 **2026年10月23日**）。ランサムウェアでの利用は「不明」。NVD の分析は Deferred（保留）で、NVD 独自の採点は無い。

CVE-2026-106931 の対応方法・回避策は？

自分の環境が CVE-2026-106931 の影響を受けるか確認するには？

EG Secure Solutions SiteGuard Server Edition（Ver2.20 以降・修正版 Ver8.00 Update5 / FreeBSD 版 Ver7.00 Update6 未満）を利用している場合、稼働バージョンが影響範囲に含まれるかを一次情報（https://nvd.nist.gov/vuln/detail/CVE-2026-106931）で確認してください。AWS・GCP・Azure・Linux それぞれの対応状況は本ページの「クラウド／OS 別の対応状況」表にまとめています。確認できていない項目は「情報確認中」と明記しており、存在しないパッチ番号・バージョンは記載していません。

CVE-2026-106931 は実際に悪用されている？

はい。CISA の既知の悪用された脆弱性カタログ（KEV）に登録されており、実環境での悪用が確認されています。米国連邦機関向けの対応期限の目安は 2026/10/23 です。推奨される対応: ベンダーの指示に従って緩和策を適用し、CISA の BOD 26-04（リスクに基づくセキュリティ更新の優先順位付け）および「Forensics Triage Requirements」に従うこと。緩和策が利用できない場合はクラウドサービス向けの BOD 26-04 指針に従うか、製品の使用を中止する。各資産のインターネット露出の評価は利用者側の責任である。