OSコマンドインジェクションの脆弱性（CVE-2026-106931）
詳細と対策方法
SiteGuard Server Edition の統計機能に、OSコマンドインジェクションの脆弱性（CVE-2026-106931）が見つかりました。すでに悪用が確認されています。下記詳細をご確認の上、影響を受ける場合は対応をお願いします。
なお、サポート契約のあるお客様には、2026年9月29日に個別にご案内済みです。
- 影響を受ける方：Ver2.20 以降をお使いで、統計機能が有効（初期値は有効）なお客様
- やること：最新版へのアップデート、またはパッチの適用
- アップデートの前に必ず：「診断情報」をダウンロードして保管してください
（攻撃の痕跡が消える可能性があります）
■詳細・影響範囲・対策など
| 概要 | SiteGuard Server Editionには、OSコマンドインジェクションの脆弱性が存在します。 |
| 影響範囲 | SiteGuard Server Edition Ver2.20 以降の以下のバージョン – Apache版、Nginx版、IIS版：Ver8.00 Update5 より前のバージョン – FreeBSD Apache版、Nginx版：Ver7.00 Update6 より前のバージョン ただし、IIS版の Ver3.10 から Ver4.00 Update4 は、本脆弱性の影響を受けません。 なお、当該製品において統計機能が有効な場合に本脆弱性の影響を受けます（初期値は有効）。 |
| 詳細情報 | SiteGuard Server Editionの統計機能には次の脆弱性が存在します。 OSコマンドインジェクション（CWE-78） – CVSS:4.0/AV:L/AC:L/AT:N/PR:L/UI:N/VC:H/VI:H/VA:H/SC:N/SI:N/SA:N 基本値 8.5 – CVSS:3.0/AV:L/AC:L/PR:L/UI:N/S:U/C:H/I:H/A:H 基本値 7.8 – CVE-2026-106931 なお、本脆弱性の悪用が確認されています。 |
| 想定される影響 | 当該製品が動作するサーバ上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性があります。 |
| 攻撃痕跡保全方法 | アップデートまたはパッチの適用により、攻撃の痕跡が消える可能性があります。 適用前に「診断情報」を取得し、保管してください。 ※ウェブ管理画面‐[診断情報]‐[診断情報をダウンロード] |
| 対策方法 | アップデートする 弊社が提供する情報をもとに、最新版へアップデートしてください。 本脆弱性は次のバージョンで修正されています。 – Apache版、Nginx版、IIS版 : Ver8.00 Update5(FreeBSDを除く) – FreeBSD Apache版、Nginx版 : Ver7.00 Update6 パッチを適用する バージョンアップが困難なお客様向けに、統計処理の対象ファイルを差し替えるパッチを提供しています（サポート終了バージョンを含む）。 なお、弊社から2026年9月29日に直接サポート契約があるお客様へ本脆弱性の存在と対策（バージョンアップ、個別パッチ）を通知しています。 |
本件に関しましてご不明な点などございましたら、サポート窓口または JPCERT/CC までお問い合わせください。
※サポート窓口：ご契約時にご案内しております、お問い合わせ窓口宛になります。
関連情報（外部サイト）
JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性
https://jvn.jp/jp/JVN88474777/