SiteGuard Server Editionの脆弱性CVE-2026-106931、悪用を確認

影響を受けるのはVer2.20以降の上記バージョンで、統計機能が有効な環境である。IIS版のうちVer3.10からVer4.00 Update4は、この脆弱性の影響を受けない（ベンダー告知・JVN）。古いバージョンのまま運用を続けているサーバーは特に注意が必要だ。

ベンダーは、Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSDのApache版・Nginx版はVer7.00 Update6で修正したと案内している。バージョンアップが難しい場合に備えて、統計処理の対象ファイルを差し替えるパッチも提供されており、サポート終了バージョンも対象に含まれる。

CISA KEV掲載が意味すること——悪用確認済みという事実の重さ

CVE-2026-106931は2026年10月20日にCISA KEVカタログへ追加された。KEVへの掲載は「実際に悪用が確認された」ことを意味する（出典：CISA KEV カタログ）。単なるCVSSスコアによる危険度評価とは異なり、実際の悪用が確認されたことを示す指標である。

CISAが定めた対処期限は2026年10月23日であった。これは米国連邦政府機関を対象とした義務的期限（BOD 26-04に基づく）であり、日本企業に法的義務を課すものではない。CISAが示した必要な対処は、ベンダーの指示に従ってミティゲーションを適用し、BOD 26-04のガイダンスおよびCISAの「Forensics Triage Requirements」に準拠すること、クラウドサービスについてはBOD 26-04の該当ガイダンスに従うか、ミティゲーションが利用できない場合は製品の利用を中止することである。

ランサムウェアでの利用状況は「Unknown（不明）」と記録されている。

なお、本脆弱性とAIとの関係は確認されていない。AIが発見した脆弱性でも、AI製品の欠陥でも、AIを活用した攻撃でもない。ホスト型WAFの統計機能にある、OSコマンドの扱いに関する実装上の問題である。

対処——修正版への更新と期限

• 修正版へ更新する。Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSD版はVer7.00 Update6。更新が難しい場合のパッチもある。詳細はEGセキュアソリューションズの告知を参照。
• ベンダーが示す対策は、アップデートとパッチの2つ。適用前に管理画面から診断情報を取得して保管するよう、ベンダーが案内している（詳細は告知を参照）。
• CISAの対処期限は2026年10月23日（米連邦機関向け）。

自社の機器が対象かどうかの判断や、すでに侵入されていないかの確認は、構成やログを見ないと判断できません。