国産WAF「SiteGuard」の脆弱性が悪用中。WP Pluginやレンタルサーバーの人は関係ある？立場別にやること
サイトを守る国産ソフト「SiteGuard」のサーバー版に脆弱性が見つかり、すでに攻撃に使われています。WordPressの「SiteGuard WP Plugin」やレンタルサーバーを使っている人は関係あるのか、立場ごとにやることと、サーバー版の更新手順をまとめました。
サイトを攻撃から守るための国産ソフト「SiteGuard（サイトガード）」に脆弱性が見つかり、すでに実際の攻撃に使われていることがわかりました。開発元のEGセキュアソリューションズが2026年10月14日に「緊急」として公表し、JPCERT/CCも注意を呼びかけています。
「SiteGuard」と聞いて、WordPressのプラグイン「SiteGuard WP Plugin」を思い浮かべた人も多いのではないでしょうか。この記事では、今回の対象がどの製品なのか、自分のサイトは関係あるのかを、立場ごとに整理します。
この記事のポイント
- 対象は、サーバーに組みこんで使う「SiteGuard Server Edition」（以下、サーバー版）。今回の発表で、WordPressプラグインの「SiteGuard WP Plugin」は対象に挙がっていない
- すでにサーバーに入りこんだ攻撃者が、サーバーの管理者（root）の権限を奪えるおそれがある
- 自分でサーバーに入れている人は、更新の前に「診断情報」を保存してから、修正版に更新する
そもそも「SiteGuard」って何？
SiteGuardは、Webサイトへの攻撃を見張って止める「WAF（ワフ）」と呼ばれる種類のソフトです。日本の会社が作っていて、官公庁や企業のサイトから、個人向けのレンタルサーバーまで、幅広く使われています。JPCERT/CCも、今回の製品について「国内で広く利用されている」としています。
同じ「SiteGuard」の名前がついた製品がいくつかあるので、まず整理しておきましょう。
| 製品 | どんなもの | 今回の発表の対象？ |
|---|---|---|
| SiteGuard Server Edition（サーバー版） | Webサーバーに組みこんで使うWAF | 対象 |
| SiteGuard WP Plugin | WordPressに入れるプラグイン（ログインの保護など） | 対象に挙がっていない |
| SiteGuard Cloud Edition | クラウドで提供されるWAFのサービス | 対象に挙がっていない |
名前は同じでも、サーバー版と WP Plugin は別の製品です。WP Pluginは、WordPressの管理画面への不正ログインを防ぐためのプラグインで、今回の脆弱性とは関係する機能が違います。
何が見つかったの？
開発元とJVN（国の脆弱性情報サイト）の発表によると、内容は次のとおりです。
| 項目 | 内容 |
|---|---|
| 対象 | サーバー版の Ver2.20 から後のバージョン |
| 原因 | 「統計機能」の部分の不具合（OSコマンドインジェクション） |
| 条件 | 統計機能が有効なとき（初期設定で有効） |
| 起こりうること | サーバーの上で、管理者（root／SYSTEM）の権限で好きな命令を実行される |
| 深刻度 | CVSS 4.0で8.5。JVNの表示は「緊急」 |
| 悪用 | すでに確認されている |
| 番号 | CVE-2026-106931 |
開発元は、サポート契約のある利用者には、公表より前の9月29日に個別に知らせていたそうです。
「外から一発で乗っ取られる」タイプではない
発表されている深刻度の中身を読むと、この脆弱性はサーバーの中から使うタイプです。つまり、攻撃者がすでに何らかの方法でサーバーに入りこみ、弱い権限を持っている状態で使うと、サーバーの管理者の権限まで奪える、というものです。
「それなら安心」とは言えません。ほかの脆弱性でサーバーに入りこまれたとき、この弱点が残っていると、被害がサーバー全体に広がるおそれがあるからです。同じ時期には、PHPの“致命的”な脆弱性のように、外からサーバーに入りこまれるおそれのある弱点も見つかっています（「PHPの“致命的”な脆弱性、修正版が公開」）。守りのためのソフトが、逆に攻撃の足がかりになってしまうのは、避けたいところです。
自分は関係ある？立場別にやること
| あなたの立場 | 関係するか | やること |
|---|---|---|
| 自分（自社）のサーバーにサーバー版を入れている | 関係する | 診断情報を保存してから、修正版に更新（下の手順） |
| レンタルサーバーのWAF機能を使っている | サーバー会社しだい | 自分で更新はできない。サーバー会社のお知らせを確認 |
| WordPressで「SiteGuard WP Plugin」を使っている | 今回の発表の対象ではない | プラグインはふだんどおり最新版に |
| サイトを持っていない | 直接は関係ない | 特になし |
レンタルサーバーを使っている人へ
レンタルサーバーの中には、WAFの機能として、SiteGuardの技術を使っているところもあります。その場合、ソフトを管理しているのはサーバー会社なので、利用者が自分で更新することはできません。
気になる人は、契約しているサーバー会社の「お知らせ」や「障害・メンテナンス情報」のページで、今回の件への対応が出ていないかを確認してみましょう。
WordPressで「SiteGuard WP Plugin」を使っている人へ
今回の発表で対象として挙げられているのはサーバー版だけで、WP Plugin は含まれていません。ただ、プラグインはどれも、更新を後回しにしないのが基本です。管理画面の「プラグイン」で、更新が出ていないかをときどき確認しましょう。
サーバー版を使っている人の手順
開発元が案内している手順を整理しました。
- まず「診断情報」を保存する：アップデートやパッチを当てると、攻撃された痕跡が消えてしまうことがあります。先に、ウェブ管理画面の「診断情報」→「診断情報をダウンロード」で保存しておきます
- 修正版に更新する：Apache版・Nginx版・IIS版は Ver8.00 Update5、FreeBSDのApache版・Nginx版は Ver7.00 Update6 で直っています
- すぐに更新できない場合：問題の部分だけを直すパッチも配られています（サポートが終わった古いバージョン向けもあり）。JPCERT/CCは、統計機能を止めることでも影響を避けられるとしています
- 侵入されていないかも調べる：悪用が確認されているため、JPCERT/CCは更新とあわせて、侵入の跡がないかの調査も検討するよう呼びかけています
なお、IIS版のうち、Ver3.10 から Ver4.00 Update4 までは影響がないとされています。
このブログの考え方
WAFのような「守りのソフト」は、入れておけば安心、と思いがちです。でも今回のように、守りのソフトそのものに弱点が見つかることもあります。
「入れたから安心」と「本当に守られている」のあいだには、更新という作業があります。守りの道具も、ほかのソフトと同じように、最新に保ってこそ力を発揮するのだと思います。
まとめ
- 国産WAF「SiteGuard」のサーバー版に脆弱性があり、すでに攻撃に使われている
- サーバーに入りこんだ攻撃者が、管理者の権限まで奪えるおそれがある。統計機能（初期設定で有効）が入り口
- 自分で入れている人は、診断情報を保存してから、修正版に更新を
- 「SiteGuard WP Plugin」は今回の発表の対象ではない。レンタルサーバーの人は、サーバー会社のお知らせを確認
参考資料
- SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)（EGセキュアソリューションズ、2026年10月14日）
- JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（JVN、2026年10月14日）
- SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起（JPCERT/CC、2026年10月14日）
※ 記事の内容は、2026年10月22日時点の情報をもとにしています。
