脆弱性対応は「点数」から「リスク」へ――CVSS、KEV、BOD 26-04を踏まえた優先順位の付け方：辻伸弘の「投げます。一石、」（5）（1/2 ページ）
脆弱性の発見数が対処のスピードを上回ることが確実になった今、あきらめてしまう以外の方法を考える必要がある。脆弱性を評価する方法を「点数」ではなく「リスクマネジメント」の観点から考えるに当たり、参考になる指標や文書を紹介する。
この記事は会員限定です。会員登録（無料）すると全てご覧いただけます。
埋まらない「パッチ適用」と「悪用スピード」のギャップ
本連載の第1回では、「ペネトレーションテストは死んだ？」と題し、筆者のキャリアの原点ともいえるペネトレーションテストの常識に対し、身を切る思いであえて一石を投じた。
「ペネトレーションテストは死んだ？」：辻伸弘の「投げます。一石、」（1）
この中で筆者は、サイバー攻撃を取り巻く状況が劇的に変化し、攻撃者と防御者の「時間との戦い」において、守る側が構造的に追い付けなくなっていることを指摘した。悪用が確認されている脆弱（ぜいじゃく）性であっても、パッチ公開から30日以内に未修正のケースが85%に上る一方、既知の脆弱性の56%が1カ月以内に悪用されている現実があることを伝えた。われわれの対応は圧倒的に間に合っておらず、防御側にとってはもはや「負け戦」のような数字になってしまっているのが分かる。
それから半年以上が過ぎたが、状況が良くなるはずはなく、悪化の一途をたどっている。今回は脆弱性対応の現状から、新たに発表された幾つかの指針、そして最も重要な“土台”について考えていきたい。
フロンティアAIの到来――そして増加するCVE件数
筆者がまとめた、マイクロソフト製品およびGoogle Chromeで公開されているCVE（共通脆弱性識別子）の数の推移を見てみよう。その月までに公開されたCVE数を積み上げているが、2025年までのグラフと2026年のグラフは異なることが一目で分かる。明らかに大幅な増加が見られる。
Apple、Cisco、Oracle、VMwareなど他の主要ベンダーでも同様の傾向が見られる。
一方、米AIスタートアップのAnthropicは2026年4月、重要ソフトウェアや重要インフラを保護するための取り組みとして「Project Glasswing」を発表した。 これまでもソースコードを解析して脆弱性を発見する動きはあったが、このプロジェクトに代表されるように、「フロンティアAI」と呼ばれる技術を脆弱性発見に活用する動きが活発化している。
CVE公開件数の大幅な増加の背景に、AIを使った発見の取り組みがあることは十分考えられる。脆弱性発見における「人が主体、ツールは補助」という役割分担は、今後逆転するのではないかとも思える。
脆弱性公表増加の原因をAIだけに求めることはできない。ただ、AIを脆弱性発見に活用する動きが急速に広がっていることを考えれば、今後「発見される脆弱性の数」がさらに増えることは想定しておくべきだろう。
日本の「SCS評価制度」の盲点と、WP2Shell／デジタル庁の不正アクセス事案の教訓
脆弱性対応で真に考えるべきは、数ではなく「優先度」だ。では、わが国の対策はどのような状況だろうか。
情報処理推進機構（IPA）が運営する「SCS評価制度」では、項目4-4-4-2にて「CVSS基本値7.0以上、もしくはレベルの詳細がベンダーから提供されていない脆弱性に対し、リリースから14日以内のアップデート」を定めている。
ここでポイントとなるのは「CVSSの基本値が7.0以上の脆弱性」だ。筆者が調査した、全CVEにおけるCVSS 7.0以上の割合は、例年半分ほどを占めている。これらに対し、SCS評価制度は「14日以内にアップデートすること」を求めているのだ。これはかなり高難度な項目であると感じている。SCS評価制度では、★3でもこの要件が求められるのだ。
CVSSスコアに依存する評価には大きなリスクが潜む。例えば「wp2shell」は、CVSS 9.8（Critical）の認証回避（CVE-2026-63030）と、CVSS 5.9（Medium）のSQLインジェクション（CVE-2026-60137）を組み合わせた、WordPressに向けた攻撃チェーンだ。7.0未満を対象外とすると、後者のような脆弱性が見過ごされ、別の攻撃と組み合わされた際に甚大な被害を招く恐れがある。CVSSスコアに依存した評価では、いつ甚大な被害を引き起こすか分からない脆弱性を放置したまま、運用を継続せざるを得ない状況を生んでしまう可能性がある。
また、2026年9月11日に公表されたデジタル庁、ガバメントソリューションサービス（GSS）の不正アクセス事案でも、悪用されたVPN機器の脆弱性は公表時の評価が「中（Medium）」レベルであった。CVSS基本値でいうと4.0〜6.9に当たる。CVSS基本値が低くても実際に悪用されるケースは存在するということだ。デジタル庁の事案は、この値のみで優先順位を決める危うさを物語っている。
Xユーザーの辻 伸弘 (nobuhiro tsuji)さん: 「デジタル庁の不正アクセス事案からSCS評価制度のある部分のことを考えてきました。」 / X
「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」に関するQ&A｜デジタル庁
筆者は、SCS評価制度そのものを否定するつもりはない。だが、CVSS基本値のみに依存した対応は、現場の負担を増やすだけでなく誤った安心を生みかねないと考えている。基本値の高低にとらわれず、「実際に悪用されているか」というリスクベースの視点で優先度を見極めることが不可欠だ。
そこで紹介したいのが、米国の政府機関であるサイバーセキュリティ・インフラセキュリティ庁（CISA）が公開する「Known Exploited Vulnerabilities Catalog」（KEV）だ。KEVは全ての脆弱性情報を網羅したデータベースとは異なり、実際の悪用が確認され、CISAの掲載基準を満たした脆弱性を収録している。
Copyright © ITmedia, Inc. All Rights Reserved.
アイティメディアからのお知らせ
注目のテーマ
ITmediaはアイティメディア株式会社の登録商標です。