サイトを守るために入れたWAFと、注文手続きに組み込んだ決済の部品。役割の違う2つの国内製品で、10月14日、悪用を伴う脆弱性が公表されました。EC-CUBEのプラグインはCVSSの基本値が5.3にとどまる一方、JVNは「緊急」と表示しています。数値と表示が違うとき、サイトの運営者は何を手がかりに動けばよいのでしょうか。
2026年10月14日、国内製品の脆弱性2件がJVNで公表され、いずれも悪用が確認されている。EGセキュアソリューションズのWAF「SiteGuard Server Edition」は、統計機能にOSコマンドインジェクションの脆弱性（CVE-2026-106931）があり、rootまたはSYSTEM権限で任意のOSコマンドを実行される可能性がある。修正版はFreeBSD以外の版がVer8.00 Update5、FreeBSD版がVer7.00 Update6である。イーシーキューブのEC-CUBE4系用「AmazonPayプラグイン」の脆弱性（CVE-2026-103671）は、注文手続き中に任意のサイトへリダイレクトされ、アカウント情報などを窃取される可能性があるもので、CVSS v4.0の基本値は5.3である。
10月14日、国内で開発された2つの製品の脆弱性が、脆弱性対策情報のポータルサイトJVNで公表されました。EGセキュアソリューションズのWAF「SiteGuard Server Edition」と、イーシーキューブが提供するEC-CUBE4系用の「AmazonPayプラグイン」です。JVNはどちらにも「緊急」の表示を付けています。2件とも、公表の時点ですでに悪用が確認されています。
一方は、Webサイトへの攻撃を防ぐためにWebサーバーに組み込んで使う製品で、もう一方は、ネットショップの注文手続きにAmazon Payの決済を組み込むための部品です。サイトを守る側の製品と、決済の流れを担う部品。役割の違う2つの製品で、同じ日に、悪用を伴う脆弱性が明らかになりました。
国内では9月前後から、不正アクセスによる情報の漏えいが相次いでいます。JPCERT/CCは10月8日の注意喚起で、標的ごとにさまざまな既知の脆弱性を探して悪用を試みる手口を挙げ（関連記事）、IPAなどは10月9日、外部に公開しているアプリケーションの点検を事業者に求めました（関連記事）。10月17日の記事では、海外製のVPNやリモートサポートの機器で相次いだゼロデイ攻撃を取り上げています（関連記事）。今回の2件が一連の漏えい事案に使われたかどうかは、公表資料では示されていません。それでも、サイトを運営する側が自分の環境で確かめるべきことは、はっきりしています。2件の公表資料をもとに、対象の見分け方と、更新の前後でしておきたいことを整理します。
10月14日に公表された2件
| 項目 | SiteGuard Server Edition | EC-CUBE4系用「AmazonPayプラグイン」 |
|---|---|---|
| 提供元 | EGセキュアソリューションズ | イーシーキューブ |
| 製品の役割 | Webサーバーに組み込んで使うホスト型のWAF | EC-CUBEの注文手続きにAmazon Payの決済を組み込むプラグイン |
| 脆弱性の種類 | 統計機能におけるOSコマンドインジェクション（CWE-78） | 不変と想定しているWebパラメータの外部制御（CWE-472） |
| CVE | CVE-2026-106931 | CVE-2026-103671 |
| CVSS基本値 | v4.0：8.5、v3.0：7.8 | v4.0：5.3、v3.0：4.7 |
| 想定される影響（JVN） | 製品が動作するサーバー上で、rootまたはSYSTEM権限で任意のOSコマンドが実行される可能性 | 注文手続き中に任意のWebサイトへリダイレクトされ、アカウント情報などを窃取される可能性 |
| 悪用 | 悪用を確認（開発元とJVN） | 開発者によると、悪用した攻撃を確認（JVN） |
| 対象 | Ver2.20以降の修正前の版（Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSDのApache版・Nginx版はVer7.00 Update6より前）で、統計機能が有効な場合（初期値は有効）。IIS版のVer3.10〜Ver4.00 Update4は対象外 | CV2版の4.0/4.1系v1.0.0〜v1.1.12と4.2/4.3系v4.2.0〜v4.3.1（バンドル版のv4.3.1を含む）、CV1版の4.0系v1.3.0以前 |
| 対策 | 修正版への更新（Apache版・Nginx版・IIS版はVer8.00 Update5、FreeBSDのApache版・Nginx版はVer7.00 Update6）、または統計処理の対象ファイルを差し替えるパッチ | 開発元の案内に沿ったパッチの適用と最新版への更新。CV1版のv1.2.9以前はCV2版への移行を推奨 |
SiteGuard Server Edition｜守る側の製品で見つかった脆弱性
SiteGuard Server Editionは、Webサーバーに組み込んで使うホスト型のWAF（Web Application Firewall）です。WAFは、Webアプリケーションに届く通信を検査し、攻撃とみられるものを止める仕組みです。ホスト型は、守る対象のWebサーバーそのものの上で動きます。EGセキュアソリューションズは、通信の経路上に置くゲートウェイ型の「SiteGuard Proxy Edition」やクラウド型の「SiteGuard Cloud Edition」も提供していますが、今回の告知の対象はServer Editionです。JPCERT/CCは、この製品が国内で広く利用されていることを確認しているとしています。
脆弱性があったのは、製品の統計機能です。悪用されると、製品が動いているサーバー上で、rootまたはSYSTEMの権限で任意のOSコマンドを実行される可能性があります。rootはLinuxなどのUNIX系のOSで、SYSTEMはWindowsで、最も強い権限にあたります。サイトを守るために入れた製品が、サーバーの最も強い権限を握られる入口になりうるという性質の脆弱性です。
対象かどうかは、版と統計機能で決まる
影響を受けるのは、Ver2.20以降のうち修正前の版で、統計機能が有効になっている場合です。Apache版・Nginx版・IIS版はVer8.00 Update5より前、FreeBSDのApache版・Nginx版はVer7.00 Update6より前の版が該当します。ただし、IIS版のVer3.10からVer4.00 Update4までは影響を受けません。統計機能は初期設定で有効になっています。
SiteGuard Server Editionは、2019年4月のVer4.00で「SiteGuard Lite」から製品名を改めています。対象はVer2.20以降なので、旧製品名のSiteGuard Liteとして導入した環境も、版によっては確認の対象になります。
修正版は、Apache版・Nginx版・IIS版がVer8.00 Update5、FreeBSDのApache版・Nginx版がVer7.00 Update6です。すぐに版を上げられない利用者向けには、統計処理の対象ファイルを差し替えるパッチが用意されており、サポートが終了した版も対象に含まれています。JPCERT/CCは、統計機能を無効にすれば影響を避けられるとして、これを回避策に挙げています。
更新の前に「診断情報」を残す
今回の告知で、実務上とくに大事なのは更新の順番です。EGセキュアソリューションズは、アップデートやパッチの適用で攻撃の痕跡が消える可能性があるとして、適用の前にWeb管理画面から「診断情報」をダウンロードし、保管するよう求めています。
修正を当てれば脆弱性はふさがりますが、すでに入られていたかどうかは、それだけでは分かりません。JPCERT/CCも、対策とあわせて侵害調査の実施を検討するよう呼びかけています。10月17日の記事で取り上げたBeyondTrustの機器への攻撃でも、GoogleのGTIGの報告によると、攻撃者は機器上のログを繰り返し消していました（関連記事）。報告は、侵害された、または侵害が疑われる機器を隔離する場合の対応として、変更や再起動の前に証拠を保全し、機器の外に残るログも集めるよう勧めています。対応の順番は製品ごとの案内によって異なります。今回のSiteGuard Server Editionでは、開発元の案内どおり、まず「診断情報」を保全してから更新します。
攻撃の手順は公表されていない
CVSSの評価では、攻撃元区分は「ローカル」、攻撃に必要な特権レベルは「低」とされています。ネットワーク越しに製品を直接突く攻撃ではなく、SSHなどを通じた操作を含め、対象のサーバー上で何らかの操作ができる立場からの攻撃を想定した評価です。悪用の具体的な手順や、悪用が確認された時期は公表されていません。一般に、この種の脆弱性は、別の手段でサーバーに足場を得た攻撃者が、権限を引き上げるために使うことがあります。
EGセキュアソリューションズは、公表に先立つ9月29日に、直接サポート契約がある利用者へ脆弱性の存在と対策を個別に知らせていました。告知の冒頭には、影響を受ける利用者、やること、更新の前に必ずすること、の3点が並び、利用者が迷わず動けるように書かれています。
EC-CUBE「AmazonPayプラグイン」｜注文手続きの途中で起きるリダイレクト
EC-CUBEは、イーシーキューブが開発する、オープンソースのECサイト構築パッケージです。AmazonPayプラグインは、EC-CUBEで作ったネットショップに、Amazonアカウントの情報を使って住所やクレジットカードを入力せずに買い物ができるAmazon Payの決済を組み込む、公式のプラグインです。
脆弱性は、注文手続きの途中のリダイレクト処理にあります。JVNによると、悪用されると注文手続き中に任意のWebサイトへリダイレクトされ、その結果、アカウント情報などを窃取される可能性があります。種類は「不変と想定しているWebパラメータの外部制御」です。本来は書き換えられない前提でやり取りされる値を、外部から操作できてしまう問題を指します。
イーシーキューブ自身の告知は、危険度を「高」としています。理由に挙げているのは、不正な管理者アカウントを登録でき、管理画面にログインできるためという点です。JVNは想定される影響としてリダイレクトとアカウント情報の窃取を挙げ、イーシーキューブはショップの管理画面への不正なログインまで書いています。2つの説明がどのようにつながるのか、攻撃の具体的な手順は公表されていません。
CVSSは5.3、表示は「緊急」
この脆弱性のCVSS v4.0の基本値は5.3、v3.0では4.7で、JVN iPediaの区分ではいずれも「警告」です。一方でJVNは「緊急」と表示し、Security NEXTも「緊急脆弱性」と報じました。
これは食い違いではありません。JVNの「緊急」は、攻撃がすでに観測されているなど、対策の優先順位を決めるうえで重要な補足情報があるときに付く表示です。CVSSの基本値が表すのは脆弱性そのものの技術的な性質で、実際に狙われているかどうかは含みません。デジタル庁のGSSへの不正アクセスでも、入口になったのは、公表時の評価がCVSSで「中」の脆弱性でした（関連記事）。数値が中程度でも、悪用が確認されていれば優先して対応する。「緊急」の表示は、その判断の目安として読むことができます。JVN自身も、この表示はあくまで目安で、対策を急ぐかどうかは各組織が判断するよう求めています。
バンドル版と、CV1版からの移行
対象は、CV2対応版の4.0/4.1系と4.2/4.3系、そしてCV1対応版の4.0系のプラグインです。見落としやすいのは、バンドル版です。EC-CUBE 4.3.1以上にはAmazon Payのプラグインが標準で搭載されていて、別にダウンロードする必要がありません。JVNの対象には、このバンドル版のv4.3.1も含まれています。プラグインを自分で入れた覚えがなくても、EC-CUBE 4.3.1以上を使っているなら、Amazon Payのプラグインの版を確かめておく必要があります。
4.2/4.3系向けのプラグインでは、JVNの対象はv4.3.1までです。EC-CUBEのオーナーズストアでは、8月17日公開のv4.3.2で「注文手続き中のリダイレクト処理において、想定外の画面へ遷移するケース」を修正したと説明されています。CV1対応版は、v1.2.9以前を使っていると最新版のv1.3.1へ上げられないとして、イーシーキューブはCV2対応版への移行を強く勧めています。クラウド版の「ec-cube.co」は、すでに修正済みです。修正の詳しい手順は、EC-CUBEのアカウントでログインして確かめる案内になっています。
ECサイトでは、決済まわりの処理が攻撃に使われる例が続いています。9月には、Magentoで、支払い失敗の通知メールを描画する処理を通じてコードを実行させるゼロデイ攻撃が明らかになりました（関連記事）。
サイト運営者が確かめたいこと
2件に共通するのは、どちらもサイトの運営者の側で版を確かめ、更新する必要がある製品だという点です。SiteGuard Server EditionはWebサーバーに組み込んで使い、EC-CUBEのプラグインはショップの環境に入っています。クラウド版のec-cube.coのように提供側で修正が済むものを除けば、更新は利用者の手に委ねられています。サーバーやショップの管理を外部に任せている場合は、管理している事業者や制作会社に確認を頼む必要があります。
確かめる順番を整理しておきます。
- 使っているかどうか、どの版かを確かめる。制作会社や保守会社に構築を任せた環境も含める
- SiteGuard Server Editionなら、統計機能が有効かを確かめ、更新の前に「診断情報」を保存してから、修正版への更新かパッチの適用を行う。すぐに更新できない場合は、統計機能の無効化が回避策になる
- EC-CUBEなら、AmazonPayプラグインの系統（CV1対応版かCV2対応版か、4.0/4.1系か4.2/4.3系か）と版を確かめ、該当する場合は開発元の案内に従って更新やパッチの適用を行う。EC-CUBE 4.3.1以上では、標準で搭載されているプラグインの版も確かめる（JVNはバンドル版のv4.3.1を対象に挙げている）
- 悪用が確認されている以上、更新して終わりにせず、作った覚えのない管理者アカウントや、不審な操作の記録がないかも確かめる
JPCERT/CCは10月8日の注意喚起で、既知の脆弱性の影響を受ける版で運用している場合は修正済みのアップデートを適用するよう求めていました。IPAが挙げた点検も、最初の項目は外部に公開しているアプリケーションの洗い出しです。この洗い出しでは、アプリケーション本体だけでなく、WAFやECサイトのプラグインのような構成要素も、確かめる対象に含めておきたいところです。
2件の開発元は、公表に先立って手を打っていました。EGセキュアソリューションズは9月29日に直接サポート契約がある利用者へ個別に知らせ、サポートの終わった版にもパッチを用意しました。イーシーキューブは、4.2/4.3系ではリダイレクト処理を直した版を8月に公開し、クラウド版の修正も済ませています。EGセキュアソリューションズは自社の告知で悪用の確認を明らかにし、EC-CUBEの件でも、JVNが開発者からの情報として、悪用した攻撃が確認されていることを伝えています。悪用されているという一文があることで、利用者は自分の対応の順番を繰り上げられます。開発元が出した情報を、利用者が自分の環境の確認につなげる。その往復が、相次ぐ不正アクセスへの確かな備えになります。
【関連記事】
【解説】Ivanti・BeyondTrust・Citrixでゼロデイ攻撃が相次ぐ VPNとリモートサポート機器が修正前から標的に
社外と社内の境目に立つVPNやリモートサポートの機器で、修正前の脆弱性を突く攻撃が相次いだ9月下旬からの1か月を整理した解説。
JPCERT/CC、国内で相次ぐ不正アクセスに注意喚起 4ケースのうち製品名はMetabaseのみ
JPCERT/CCが10月8日に出した注意喚起の4つのケースを読み解いた記事。既知の脆弱性の探索やAPIの悪用を扱った。
【解説】IPA・NCOなどが不正アクセスで一斉に注意喚起、事業者に3つの点検を要請
IPAやNCOなどが10月9日に出した注意喚起を整理し、外部に公開しているアプリなど3つの点検を、確認された手口に重ねて読み解いた解説。
【解説】デジタル庁GSS不正アクセスはなぜ防げなかったか｜入口はCVSS「中」の脆弱性
入口がCVSSで「中」と評価された脆弱性だったデジタル庁GSSの事案から、深刻度の数値だけに頼らない脆弱性管理の考え方を読み解いた。
Magentoゼロデイ「StyleSmuggler」｜パッチを当てていた店が最初の被害者に
支払い失敗の通知メールの描画を悪用したMagentoのゼロデイを伝えた記事。最新のパッチを適用済みだった店舗が最初の被害を受けた。
【編集部後記】
EGセキュアソリューションズが9月29日に個別に知らせたのは、直接サポート契約がある利用者でした。告知は、サポート窓口を、納品時に渡した契約内容確認書か、契約した販売店で確かめるよう案内しています。
販売店や制作会社を通じて導入した環境では、最初の知らせが届く先は、自社ではなく導入した事業者かもしれません。自分のサーバーのWAFについて、誰が知らせを受け取る窓口になっているのか。版を確かめる前に、まずそこを確かめておきたいと思います。
【用語解説】
WAF（Web Application Firewall）
Webアプリケーションに届く通信を検査し、攻撃とみられるものを止める仕組み。Webサーバー上で動くホスト型、通信の経路上に置くゲートウェイ型、クラウド型などがある。
OSコマンドインジェクション
外部からの入力に細工をして、サーバーのOSのコマンドを不正に実行させる攻撃、またはそれを許してしまう脆弱性である。
JVN（Japan Vulnerability Notes）
JPCERT/CCとIPAが共同で運営する脆弱性対策情報のポータルサイト。日本で使われているソフトウェアなどの脆弱性と対策を公開している。
CVE
Common Vulnerabilities and Exposuresの略。公開された脆弱性に付けられる、世界共通の識別番号である。
CVSS
Common Vulnerability Scoring Systemの略。脆弱性の深刻度を0.0〜10.0で表す共通の指標で、3.x版と4.0版がある。基本値は、脆弱性そのものの技術的な性質を評価する。
リダイレクト
Webサイトを訪れた利用者を、自動的に別のページやサイトへ移動させる仕組み。
【参考リンク】
SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性(緊急)（EGセキュアソリューションズ）（外部）
開発元の10月14日の告知。影響範囲と修正版、差し替えパッチ、更新の前に「診断情報」を取得して痕跡を保全する手順を示している。
JVN#88474777 SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（外部）
JVNの10月14日の公表。CVE-2026-106931のCVSS、対象の版、修正版と、悪用が確認されていることを示す。
JPCERT/CC「SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起」（外部）
国内で広く利用されている製品として出された注意喚起。統計機能の無効化による回避策と、更新前の痕跡保全、侵害調査の検討を求める。
【重要】EC-CUBE公式AmazonPayプラグインにおける脆弱性のお知らせ（イーシーキューブ）（外部）
開発元の10月14日の告知。危険度を「高」とした理由と対象の版、CV2対応版への移行の推奨、クラウド版が修正済みであることを伝える。
JVN#43511918 EC-CUBE4系用プラグイン「AmazonPayプラグイン」における不変と想定しているWebパラメータの外部制御の脆弱性（外部）
JVNの10月14日の公表。CVE-2026-103671の対象の版とCVSSを示し、開発者が悪用した攻撃を確認したと伝える。
【EC-CUBE公式】Amazon Pay V2プラグイン(4.2/4.3系)（EC-CUBEオーナーズストア）（外部）
4.2/4.3系向けの公式プラグインの配布ページ。EC-CUBE 4.3.1以上での標準搭載と、各版のリリースノートを載せる。
脆弱性レポートの読み方（JVN）（外部）
JVNの各項目の説明。「緊急」の表示が、攻撃がすでに観測されているなど、対策の優先順位を決める補足情報を示すものだと説明する。
【参考記事】
国産WAF「SiteGuard Server Edition」に脆弱性 – 悪用も確認（Security NEXT）（外部）
SiteGuard Server Editionの脆弱性とCVSSの値、9月29日にサポート契約者へ個別に通知していた経緯を伝えた記事。
「EC-CUBE」の公式決済プラグインに緊急脆弱性 – すでに悪用も（Security NEXT）（外部）
EC-CUBE公式AmazonPayプラグインの脆弱性について、開発元の緊急度「高」とJVNのCVSSを並べて伝えた記事。
ARMORY CASTLE Exploits BeyondTrust（Google Cloud Blog）（外部）
BeyondTrustの機器への攻撃を分析したGTIGの報告。ログの削除を確認し、証拠の保全と機器外のログの収集を勧める。
