防御ソフトも更新が必要。SiteGuardの統計機能、確認しましたか？

どんな機能？ 名前を知らなくても、使っているかも。

SiteGuard Server Edition（サイトガード・サーバー・エディション）は、サイトへ来る不審な通信を調べて遮断するWAF（ワフ）製品です。WAFはWeb Application Firewallの略。建物にたとえると、不審な訪問者を入口で見分ける仕組みです。今回は、その防御ソフト自身の一部にある問題です。

統計機能は、攻撃の記録などを集計して状況を見やすくする機能です。製品が導入されているか、統計機能を使っているかは、サーバーの管理会社へ確認してください。同じ「SiteGuard」という名前でも、別の製品をこの注意喚起の対象と決めつけません。

何が起きるおそれがある？

対象はCVE-2026-106931。統計処理の欠陥を悪用されると、root（ルート）やSYSTEM（システム）という、サーバー全体を操作できる強い権限で不正な命令を実行されるおそれがあります。低い権限から強い権限を得ることを、権限昇格（けんげんしょうかく）と呼びます。

この問題だけで、外部から誰でも直ちに最高権限を得られるという説明ではありません。先にサーバー内で低い操作権限を得ていることなどの条件があり、統計機能が有効な場合に影響します。侵入後の被害を広げるおそれがあるため、実際の悪用確認と合わせて優先的に確認します。

対象と、修正を分けて確認する。

影響するバージョン・条件

JPCERT/CCの案内では、Ver2.20以降のうち、Apache（アパッチ）・Nginx（エンジンエックス）・IIS（アイアイエス）版はVer8.00 Update5より前、FreeBSD（フリービーエスディー）のApache・Nginx版はVer7.00 Update6より前が対象です。統計機能が有効な場合に影響し、IIS版のVer3.10〜Ver4.00 Update4は除外されています。利用OSと製品版を担当者と照合します。

修正版・更新先

通常版はVer8.00 Update5、FreeBSD版はVer7.00 Update6への更新、または開発元が提供する個別パッチを確認します。表示上の本体バージョンが古くても、個別パッチが反映されている場合があるため、実際の適用記録も確認します。

あわせて知っておきたいこと

すぐ更新できない場合は、統計機能を無効化する公式の回避策があります。担当者が最新の公式手順と運用への影響を確認して実施してください。防御ルールの自動更新が動くことと、今回の本体の欠陥が直ったことは別です。さくらのVPSでは2026年10月20日にUpdate5提供開始が案内されていますが、提供開始だけで利用サーバーへ適用済みとはいえません。

確認日以降に、新しい修正や案内が出る場合があります。適用時は保守担当者が最新の公式情報と照合してください。

担当者と、何から進める？

1. 01

   製品名・版・統計機能・個別パッチを確認

   対象製品かを最初に照合します。管理会社へ、本体の版、OS、統計機能の状態、修正済みと判断する根拠を聞いてください。

2. 02

   更新前に、記録を保全する

   JPCERT/CCは、更新で侵害の痕跡が失われる可能性を案内しています。診断情報やログを、開発元の手順に沿って保全してから更新します。ログは動作・アクセスなどの記録です。被害の疑いがあれば調査担当者へ相談します。

3. 03

   更新範囲を確認し、複製環境で検証

   NginxなどのWebサーバー本体も変わるか、設定を維持できるかを確認。バックアップ、停止予定、戻し方をそろえ、本番とは別の環境で試します。

4. 04

   防御と、通常操作を両方確認

   WAFが正常に起動し、通常のアクセスが誤って遮断されないかを確認。ログイン、フォーム、問い合わせ、購入などを検証し、修正の反映と残る課題を記録します。

保守会社に、このまま聞けます。

SiteGuard Server EditionのCVE-2026-106931について、本体の版、統計機能、個別パッチの適用状況を確認してください。診断情報・ログの保全、更新先、Webサーバーも変わるか、テスト・停止時間・戻し方を相談したいです。更新だけで侵害調査が完了したとは扱わず、必要な確認も教えてください。

停止時間・費用・戻し方まで含む確認文をコピーする →