「SiteGuardの脆弱性」の注意喚起、うちのサイトは関係ある？｜WordPressのプラグインとの違いと、サーバー管理者が更新の前にすること

「SiteGuardに脆弱性があるらしい。うちのWordPressにも入っているけれど、大丈夫だろうか」。

そんな心配をされている方もいるかもしれません。

2026年10月14日、JPCERTコーディネーションセンターは「SiteGuard Server Edition」の脆弱性について注意喚起を出しました。

開発元のEGセキュアソリューションズは、すでに悪用を確認していると案内しています。

ただ、名前に「SiteGuard」と付く製品はいくつかあり、どの形で使っているかで、やることが変わります。

この記事では、自社が関係するかの見分け方と、更新の前に気をつけることをまとめました。

■何が起きているのか

SiteGuard Server Editionは、サーバーに入れて、攻撃からWebサイトを守るための製品です。

今回の脆弱性を悪用されると、そのサーバーの上で、最も強い権限で命令を実行されるおそれがあります。

つまり、サイトの改ざんや情報の持ち出しなど、サーバー全体の問題につながりかねません。

対象は次のとおりです。

・SiteGuard Server Edition Ver2.20以降

・統計機能が有効な場合（初期の設定では有効）

・IIS版のVer3.10からVer4.00 Update4は、影響を受けない

直った版は、Apache版、Nginx版、IIS版がVer8.00 Update5、FreeBSDのApache版、Nginx版がVer7.00 Update6です。

■自分の使い方で見分ける

WordPressの「プラグイン」の画面に「SiteGuard WP Plugin」がある場合

今回の注意喚起の対象製品には、名前が挙がっていません。

ただし、安全が確かめられたという意味ではありません。

別の話として、プラグインは最新の状態にしておきましょう。

レンタルサーバーの管理画面で、WAFの設定をオンにしているだけの場合

サーバーの本体はサーバー会社が管理しています。

影響があるかは、サーバー会社のお知らせを見てください。

分からないときは、お知らせのページか問い合わせ窓口で確かめます。

VPSや専用サーバーに、自社や制作会社が製品を入れた場合

ここが今回の注意喚起の中心です。

サーバーを管理している人や会社に、すぐに確かめてください。

名前の似た製品については、案内を読むときに製品名をよく見比べましょう。

どれを使っているか分からなければ、契約書、請求書、サーバーの管理者に聞くのが近道です。

■サーバーを管理している場合の順番

1. SiteGuard Server Editionが入っているか、版はいくつかを確かめる

2. 更新の前に、ウェブ管理画面の「診断情報」から「診断情報をダウンロード」を行い、保管する

3. 最新の版へ更新する

4. 更新が難しいときは、開発元が案内するパッチを当てる、または統計機能を止める

5. 不正に入られていないかを調べる

順番で大切なのは2です。

開発元は、更新やパッチによって攻撃の痕跡が消えるおそれがあるとしています。

「とにかく更新」の前に、調べるための材料を残しておきましょう。

パッチはサポートが終わった版も対象とされています。

ただ、古い版を使い続けるかどうかは、この機会に見直してください。

■更新だけでは終わらない理由

今回の脆弱性は、すでに悪用が確認されています。

更新は入口をふさぐ作業で、すでに入られていた場合の後始末にはなりません。

JPCERTコーディネーションセンターも、対策とあわせて、侵害がなかったかの調査を考えるよう呼びかけています。

開発元の公開の案内には、侵害を見分ける項目の一覧は載っていません（2026年11月時点）。

製品のサポート窓口か販売店に、調べ方を確かめましょう。

サイトの側では、次のような点を見ておくと手がかりになります。

・知らない管理者や、見覚えのないサーバーのユーザーが増えていないか

・更新した覚えのない日に、ファイルが変わっていないか

・見覚えのないページやファイルが増えていないか

・Search Consoleの「セキュリティの問題」に通知が出ていないか

・お客様から「知らないページに飛ばされる」と言われていないか

■やってはいけないこと

・「SiteGuard」と付くものをすべて、確かめずに消す

・診断情報を取らずに更新する

・守る仕組みがあるからと、調査を省く

・更新できないまま、だれにも伝えずに放置する

・「脆弱性を直します」というメールのリンクから手続きする

WAFを止めると、今度はほかの攻撃から守る仕組みがなくなります。

止めるかどうかは、案内を読んで、管理者が判断しましょう。

■頼むときに伝えること

・ホームページのアドレス

・サーバーの種類（レンタル、VPS、専用）と、会社名

・使っているSiteGuardの製品名と版

・サーバーを管理している人や会社

・診断情報を取ったか、更新したか、気になる症状

この5つが分かれば、調べる範囲を決めやすくなります。

■自分で確かめるチェックリスト

・どのSiteGuardを使っているかを確かめた

・レンタルサーバーなら、サーバー会社のお知らせを見た

・Server Editionなら、版と統計機能を確かめた

・更新の前に、診断情報を保管した

・更新のあと、版の表示が直った版になっているかを見た

・知らない管理者やファイルがないかを見た

■よくある質問

Q. WordPressのプラグインを消したほうがいいですか？

A. 今回の注意喚起の対象製品には名前が挙がっていないので、これだけを理由に慌てて消す必要はありません。プラグインの更新は続けましょう。

Q. 影響があるか、すぐに分からないのですが。

A. まず、サーバーがレンタルか、VPSや専用かを確かめましょう。そのうえで管理者に製品名と版を聞くと早く分かります。

Q. 更新すれば、もう安心ですか？

A. 入口はふさげますが、すでに入られていた場合は別の対応が要ります。調査もあわせて考えてください。

Q. サポートの契約がありません。

A. 販売店や、製品を入れた制作会社に確かめましょう。分からなければ、サーバーを見られる人に相談してください。

Q. 「WAFがあるから安全」ではなかったのですか？

A. 守る製品も、ほかのソフトと同じように更新が必要です。入れたあとの手入れまで含めて考えましょう。

■任せたい方へ

サーバーを管理している方がいて、ご自分で確かめられる場合は、この手順で十分です。

「不正に入られていないか心配」「ファイルや管理者に見覚えのないものがある」という方には、乗っ取り・改ざんの復旧をお受けしています。

気になる症状と、気づいた時期が分かれば、話が早く進みます。

乗っ取り・改ざんのWordPressを復旧します

https://coconala.com/services/4455914