XServer VPSビジネスプランとは？通常・クラウドとの違い
claude
IT Picks
さくらのVPSの無料WAF：SiteGuardの使い方と注意点【2026年版】
claude
さくらのVPS には、WAF（Web アプリケーションファイアウォール）を無料で使える 特典があります。EGセキュアソリューションズの「SiteGuard Server Edition」を、さくらのVPS 向けの特別版として提供しているものです。
その SiteGuard Server Edition に、2026年10月14日、悪用が確認された脆弱性（CVE-2026-106931） が公表されました。さくらのVPS では 10月20日に修正版と同じ番号の「Ver8.00 Update5」の提供が始まっています。
この記事では、さくらのVPS の無料 WAF で 何が守れるのか、どの OS・プランで使えるのか、導入の流れ を公式情報で整理し、すでに使っている人が今やること もまとめます。なお、さくらのVPS の新規申し込みは 2026年10月27日時点で石狩リージョンのみ受け付けています（東京・大阪は再開時期未定）。
この記事はこんな人向けです
- さくらのVPS で WordPress などの Web サイトを動かしていて、無料で使える WAF が気になっている
- 2026年10月の SiteGuard Server Edition の脆弱性のニュースを見て、自分のサーバーで何をすればよいか知りたい
- これからさくらのVPS を申し込むか検討していて、今どのリージョンで申し込めるか確かめたい
目次
さくらのVPSのWAF（SiteGuard Server Edition）とは？一言でまとめると
一言でまとめると、「Web サーバーに組み込んで、SQL インジェクションなどの攻撃を手前で止めるソフト」 です。さくらのVPS では 追加料金なし で使えます。
| 項目 | 内容 |
|---|---|
| 製品 | SiteGuard Server Edition（EGセキュアソリューションズが開発する純国産 WAF） |
| 形態 | ホスト型（守りたい Web サーバーのモジュールとして入れる） |
| さくらのVPS での料金 | さくらのVPS 向け特別版を 無料で提供 |
| 有償のもの | プロキシ構成で使う「プロキシライセンス」、専門エンジニアが設定変更などを行う「マネージドライセンス」 |
| 導入方法 | ① OS インストール時の スタートアップスクリプト ② 使っているサーバーへの 追加インストール（どちらも初期設定は利用者） |
| サポート | さくらインターネットは 設定代行をしていない。インストール作業や初期設定の依頼は EGセキュアソリューションズへ |
※ 2026年10月27日時点（さくらのVPS「料金・仕様」、さくらの VPS マニュアル「SiteGuard Server Edition（WAF）」）。
ファイアウォール（パケットフィルターなど）が ポート単位で通信を止める のに対し、WAF は HTTP の中身を見て攻撃を止める のが役割です。両方そろえて、はじめて Web サイトの入口が固まります。
サーバーの外側（CDN）で使える無料 WAF の選択肢は、こちらで解説しています。
あわせて読みたい
Cloudflare無料WAFでできること：PHP脆弱性対策【2026年版】
【2026年10月】今確認したい3つのお知らせ
10月は、SiteGuard Server Edition とさくらのVPS に関係するお知らせが続きました。
① SiteGuard Server Edition の脆弱性（10月14日）
EGセキュアソリューションズは 2026年10月14日、SiteGuard Server Edition の 統計機能に OS コマンドインジェクションの脆弱性（CVE-2026-106931） があると公表しました。同社は すでに悪用を確認している としています。
| 項目 | 内容 |
|---|---|
| 影響 | 製品が動くサーバー上で、root または SYSTEM 権限で任意の OS コマンドが実行される 可能性 |
| 深刻度 | CVSS 4.0 基本値 8.5、CVSS 3.0 基本値 7.8 |
| 対象 | Ver2.20 以降で、Apache版・Nginx版・IIS版は Ver8.00 Update5 より前（FreeBSD 版は Ver7.00 Update6 より前） |
| 条件 | 統計機能が有効 な場合（初期値は有効） |
| 修正版 | Apache版・Nginx版・IIS版は Ver8.00 Update5 |
※ 2026年10月27日時点（EGセキュアソリューションズ「SiteGuard Server Edition における OS コマンドインジェクションの脆弱性(緊急)」）。
同じ日に JPCERT/CC も注意喚起（JPCERT-AT-2026-0032） を出し、当該製品が 国内で広く利用されている ことを確認したうえで、対策と侵害調査の実施 を検討するよう呼びかけています。
SiteGuard Server EditionにおけるOSコマンドインジェクションの脆弱性（CVE-2026-106931）に関する注意喚起
② さくらのVPSで Ver8.00 Update5 の提供開始（10月20日）
さくらのVPS は 2026年10月20日、「SiteGuard Server Edition Ver8.00 Update5」の提供開始を案内しました。お知らせ自体には脆弱性への言及はなく、変更点は EGセキュアソリューションズの「ご利用ガイド」の変更履歴を見るよう案内しています。
ご利用ガイドは誰でも見られるページではなく、コントロールパネルにログインして確認できるユーザー名とパスワード が必要です。
さくらのVPS「SiteGuard Server Edition Ver8.00 Update5」提供開始のお知らせ
③ PHP の脆弱性（php2shell）とシグネチャ（10月22日）
10月21日に PHP の深刻な脆弱性 2件（CVE-2026-109618 / CVE-2026-109619） が公表されたことを受け、EGセキュアソリューションズは 10月22日、SiteGuard シリーズで 影響を緩和するシグネチャをリリースした と案内しました。
ただし同社は、影響範囲が幅広く WAF による完全な対策は困難 だとして、PHP の修正版（8.2.35 / 8.3.36 / 8.4.27 / 8.5.12）や OS の修正パッケージへの更新を最優先 にするよう求めています。WAF は 更新までの時間を稼ぐもの と考えるのが現実的です。PHP の脆弱性の詳細はこちらです。
あわせて読みたい
PHPに深刻な脆弱性2件、修正版8.5.12などを公開【2026年10月】
何を防げる？WAFの守備範囲
さくらの VPS マニュアルでは、SiteGuard Server Edition が対応する主な脅威として次を挙げています。
- SQL インジェクション、クロスサイトスクリプティング（XSS）
- OS コマンドインジェクション、HTTP ヘッダインジェクション
- ブルートフォース（ログイン画面への総当たりなど）
- Apache Killer、Apache Struts の脆弱性、hashdos、ShellShock など
機能としては、あらかじめ用意された攻撃パターンで検査する 「トラステッド・シグネチャ」（自動・手動で更新）、自分でルールを作る「カスタム・シグネチャ」、Cookie 保護、DoS・ブルートフォース防御などがあります。EGセキュアソリューションズの製品ページは、WordPress に代表される CMS の保護にも有効 だとしています。
WAF だけでは守れないもの
注意したいのは、WAF は アプリやミドルウェアの更新の代わりにはならない ことです。php2shell の件で開発元自身が「完全な対策は困難」と書いているとおり、根本対策はソフトの更新 です。さらに今回は、WAF そのものに脆弱性 が見つかりました。WAF を入れたら、WAF 自体も更新し続ける対象 になります。
使える OS と Web サーバー
さくらのVPS で手軽なのは、公式のスタートアップスクリプト で入れる方法です。公式スクリプト一覧での SiteGuard Server Edition の対応 OS は次のとおりです。
| OS | 公式スクリプト |
|---|---|
| AlmaLinux 8 / 9 / 10 | ◯ |
| Rocky Linux 8 / 9 / 10 | ◯ |
| CentOS Stream 9 | ◯ |
| Ubuntu 22.04 / 24.04 | ◯ |
| Ubuntu 26.04 | –（非対応） |
| Debian 11 / 12 | –（非対応） |
※ 2026年10月27日時点（さくらの VPS マニュアル「スタートアップスクリプト」の公式スクリプト一覧）。
さくらのVPS で 2026年9月から選べるようになった Ubuntu 26.04 は、公式スクリプトの対象外 です。EGセキュアソリューションズの推奨動作環境でも、Ubuntu は 22 / 24 が対象として挙がっています。SiteGuard を使う予定なら、OS は AlmaLinux・Rocky Linux か Ubuntu 24.04 を選ぶ のが無難です。
Web サーバーは Apache（2.2 / 2.4）か Nginx（1.24〜1.31） に対応しています。ただし推奨動作環境には、Nginx 版は Nginx をソースからコンパイルしてインストールする必要がある と書かれています。手間を減らしたいなら Apache の方が始めやすい構成です。また、Web 管理画面の動作には JDK/JRE 11 以降 が必要です。
必要なプラン：メモリ2GB以上が目安
EGセキュアソリューションズの推奨動作環境では、CPU は2コア以上、メモリは2GB 以上、ディスクの空きは5GB 以上 が推奨されています。さくらのVPS のプランに当てはめると次のようになります。
| プラン | 仮想CPU | SSD | 推奨環境との関係 |
|---|---|---|---|
| 512MB | 1コア | 25GB | CPU・メモリとも推奨を下回る |
| 1GB | 2コア | 50GB | メモリが推奨を下回る |
| 2GB | 3コア | 100GB | 推奨を満たす最小のプラン |
| 4GB | 4コア | 200GB | 推奨を満たす。SLA（品質保証）対応 |
※ 2026年10月27日時点（さくらのVPS「料金・仕様」、EGセキュアソリューションズ「推奨動作環境」）。
もう1つ気をつけたいのが、スケールアップの受付が止まっている ことです。10月16日のお知らせで「影響を受ける機能」に挙げられたスケールアップの受付停止は、10月27日時点でも再開の案内がありません（再開が明記されたのは石狩の新規申し込みだけです）。後から上げる前提にせず、WordPress と WAF を一緒に動かすなら最初から 2GB 以上 を選んでおくと安心です。
導入の流れ：スタートアップスクリプトか追加インストール
公式マニュアルの手順を、スタートアップスクリプトを使う場合でまとめます。
- コントロールパネルの「サーバー」から対象サーバーを選び、「OS再インストール」
- 「標準OS」で OS を選び、「スタートアップスクリプト」で 「Siteguard」を検索
- 使う Web サーバーを選択 し、「内容確認」から OS 再インストールを実行
- ブラウザで
https://FQDN:9443/を開き、ユーザー ID とパスワードでログイン - 初回ログイン時に パスワードを変更
- 「管理」→「ライセンス情報」で シリアルキー / サポートID / パスワード を入力し、「正規ライセンス」 と表示されることを確認
つまずきやすい3つのポイント
- ライセンス認証を忘れない：マニュアルは、ライセンス認証をしないと シグネチャ更新が行われない と注意しています。WAF の価値はシグネチャの新しさなので、必ず実施します
- スタートアップスクリプトは OS のインストール時だけ：この機能は 標準OS のインストール（再インストール）でしか使えません。運用中のサーバーに入れるなら、マニュアルの2つ目の方法（追加インストール）を選びます
- 管理画面の 9443 番ポート：公式スクリプトのパケットフィルターの初期設定は OFF です。パケットフィルターを使う場合は、管理画面用の 9443 番 の扱いを決め、接続元を自分の IP に絞る ことを検討しましょう
パケットフィルターや SSH の設定など、契約直後の基本的なセキュリティ設定はこちらで整理しています。
あわせて読みたい
さくらのVPSのセキュリティ初期設定：最初にやる5つの対策【2026年版】
すでに使っている人が今やること
さくらのVPS で SiteGuard Server Edition を入れている人は、開発元と JPCERT/CC の案内に沿って次の順で確認します。
- バージョンを確認する：Apache版・Nginx版で Ver8.00 Update5 より前 なら対象になりえます
- 先に「診断情報」を保存する：更新やパッチで 攻撃の痕跡が消える可能性 があるため、ウェブ管理画面の［診断情報］→［診断情報をダウンロード］で保存してから更新します
- Ver8.00 Update5 に更新する：さくらのVPS では 10月20日から提供 されています。更新が難しい場合、開発元は 統計処理の対象ファイルを差し替えるパッチ も用意しています
- すぐ更新できなければ統計機能を無効にする：JPCERT/CC は回避策として 統計機能の無効化 を挙げています
- 侵害されていないか調べる：JPCERT/CC は対策とあわせて 侵害調査の実施 の検討を呼びかけています
あわせて、PHP も修正版に更新 しておきましょう。WAF のシグネチャは php2shell の影響を緩和するものにとどまります。
利用者の声：導入でつまずいた点
さくらのVPS に SiteGuard Server Edition を入れた公開記録として、Qiita の記事を紹介します。筆者の城谷 匠さんは さくらインターネット株式会社の Organization から投稿 しており、提供元側の社員による記録である点に注意してください。
- 城谷 匠さんは 2026年3月 の記事（8月更新）で、Ubuntu 24.04・nginx 1.28.2・SiteGuard Ver8.00 Update3 の構成を公開しています。nginx をソースからビルドし、setup.sh が nginx の設定ファイルを自動で見つけなかったため手動で入力した こと、手動ビルドの nginx は apt の自動更新で不整合を起こして止まるおそれがあるため apt-mark hold で固定する よう勧めていることが書かれています（出典）
- 同じ記事では、パケットフィルターで SSH・Web に加えて 管理画面用の 9443 番を開け、SSH と管理画面は運用者の IP に限定する ことを推奨しています（出典）
この記録は Nginx 版 で、推奨動作環境の「Nginx はソースからコンパイルが必要」という条件の手間がそのまま表れています。Apache 版を選ぶか、Nginx 版の手間を受け入れるかは、構築・更新にかけられる時間 で決めるのがよさそうです。
料金・申し込み：今申し込めるのは石狩だけ
さくらのVPS の料金は、プランとリージョンで決まります。SiteGuard を使う前提で、1GB〜8GB の月額料金を並べます。
| プラン | 仮想CPU・SSD | 石狩 | 大阪 | 東京 |
|---|---|---|---|---|
| 1GB | 2コア・50GB | 880円 | 935円 | 990円 |
| 2GB | 3コア・100GB | 1,738円 | 1,848円 | 1,958円 |
| 4GB | 4コア・200GB | 3,520円 | 3,740円 | 3,960円 |
| 8GB | 6コア・400GB | 7,040円 | 7,480円 | 7,920円 |
※ 料金は2026年10月27日時点（さくらのVPS 公式「料金・仕様」、月額払い・税込）。年額払いなら石狩の 2GB は 年額19,118円（月額換算1,594円） です。
申し込み前に知っておきたい点をまとめます。
- 新規申し込みは石狩リージョンのみ受付中：10月16日から全リージョンで止まっていた新規申し込みは、10月23日15:30 に石狩のみ再開 しました。東京・大阪の再開時期は未定 です（2026年10月27日時点）
- スケールアップは受付停止のまま（再開の案内なし）。プランは最初から余裕を持って選ぶ
- クレジットカード払いなら2週間の無料お試し（お試しは2台まで、外向き25番ポートは制限）
- 最低利用期間は3か月
- SiteGuard を使うなら OS は Ubuntu 26.04 以外（AlmaLinux・Rocky Linux・Ubuntu 24.04 など）
石狩リージョンなら、公式サイトから申し込めます。
月額643円から使える！さくらのVPS
リージョンごとの料金差や、石狩を選ぶときの考え方はこちらで整理しています。
あわせて読みたい
さくらのVPSは石狩・大阪・東京どれ？料金差と選び方【2026年版】
よくある質問
Q. さくらのVPS の SiteGuard は本当に無料ですか？
A. 公式の料金・仕様ページで、さくらのVPS 向け特別版を無料で提供 と案内されています。プロキシ構成で使う「プロキシライセンス」と、設定変更などを任せる「マネージドライセンス」は有償です。
Q. さくらのVPS 向けの特別版も、10月の脆弱性の対象ですか？
A. 開発元の公表では、対象は Ver2.20 以降で Ver8.00 Update5 より前（Apache版・Nginx版・IIS版）です。さくらのVPS は特別版が対象かどうかを明記していませんが、10月20日に Ver8.00 Update5 の提供を始めています。使っている人は、診断情報を保存してから Update5 に更新 するのが確実です。
Q. Ubuntu 26.04 で使えますか？
A. 2026年10月27日時点の公式スクリプト一覧では Ubuntu 26.04 は非対応 です。開発元の推奨動作環境でも Ubuntu は 22 / 24 が対象です。
Q. WAF を入れれば、PHP や WordPress の更新はしなくてよいですか？
A. よくありません。開発元自身が、php2shell について WAF による完全な対策は困難 だとして、PHP の更新を最優先にするよう求めています。
Q. 東京や大阪で申し込みたい場合は？
A. 2026年10月27日時点で 東京・大阪の新規申し込みは再開時期未定 です。再開は公式の VPS ニュースで確認してください。
まとめ
さくらのVPS の無料 WAF「SiteGuard Server Edition」のポイントをまとめます。
- 料金：さくらのVPS 向け特別版は 無料（プロキシ・マネージドライセンスは有償）
- 守れるもの：SQL インジェクション・XSS・OS コマンドインジェクション・ブルートフォース など
- 対応 OS：AlmaLinux・Rocky Linux・CentOS Stream 9・Ubuntu 22.04 / 24.04（Ubuntu 26.04 は公式スクリプト非対応）
- 推奨環境：メモリ 2GB 以上、Nginx 版は ソースからのコンパイルが必要
- 10月の脆弱性：CVE-2026-106931（悪用確認済み）、修正版は Ver8.00 Update5。診断情報を保存してから更新
- さくらのVPS での提供：Ver8.00 Update5 は2026年10月20日から
- 申し込み状況：石狩のみ受付中、東京・大阪は再開時期未定（2026年10月27日時点）
すでに使っている人は、まず SiteGuard のバージョン確認と診断情報の保存 から始めましょう。これから始める人は、石狩リージョンの 2GB 以上のプラン を基準に検討すると、WAF と Web サイトを無理なく同居させられます。
月額643円から使える！さくらのVPS
ABOUT ME
IT Picks 編集部。VPS・クラウド・AIツール・SaaSを中心に、実際に検証した情報を届けるITメディアです。「本当に使えるか」を基準に、初心者からエンジニアまで役立つ記事を制作しています。
