脆弱性とは？AI時代に危険性が増す理由と最新の悪用事例を解説|セキュリティ対策Lab

投稿日時: 2025年02月18日更新日時: 2026年08月06日

サイバーセキュリティにおける「脆弱性（Vulnerability）」は、毎日のように新しいものが発見され、攻撃者に悪用され続けています。NVD（米国国立標準技術研究所の脆弱性データベース）に登録された新規CVE数は2025年だけで48,185件に上り、前年比20.6%増という記録的なペースで増加しています。1999年の開始以来の累計は30万件を超えました。

しかし数の多さよりも重要なのは、攻撃者が脆弱性を悪用するまでの時間が急速に短縮されている事実です。Mandiantの「M-Trends 2026」によると、脆弱性の平均エクスプロイト時間は「-7日」と計測されており、パッチが公開される前に悪用されるケースが常態化しています。「パッチが出たら適用すれば安全」という前提はすでに成立しない時代になっています。

本記事では、脆弱性の定義・発生原因・種類を整理したうえで、EternalBlue・Log4Shell・ProxyLogonなど実際に深刻な被害をもたらした重大CVEの事例を取り上げ、CISAが公開するKEVカタログを活用した実践的な優先順位付けまでを解説します。

脆弱性の規模感と重要指標のサマリー（CISA・NVD・Mandiant）

2025年の新規CVE登録数：48,185件（NVD。前年比20.6%増、過去最多水準）
CISA KEVカタログ登録数：2026年7月27日時点で1,655件（2025年は前年比20%増）
Mandiant M-Trends 2026：平均エクスプロイト時間が「-7日」——パッチ公開前に悪用される脆弱性が急増
Google GTIG 2025：野生で悪用されたゼロデイ90件（うちエンタープライズ技術が48%で過去最高）
CrowdStrike 2026：公開前に悪用されたCVEが全体の42%
Verizon DBIR 2025：侵害において脆弱性悪用が起点となったケースが全体の20%（前年比+34%増）
1,655件のKEVのうち304件（20.5%）がランサムウェアグループによる悪用記録あり

整理表——脆弱性の主な種類とリスク

種別	代表的な脆弱性	主なリスク
リモートコード実行（RCE）	Log4Shell・ProxyLogon・EternalBlue	認証なしで任意コードを実行される
認証バイパス	Citrix ADC・Fortinet FortiGate・Ivanti VPN	認証を回避しシステムに侵入
SQL インジェクション	岡山精神科医療センター・積水ハウス事案	DBの情報を不正に読み書き
バッファオーバーフロー	Heartbleed（OpenSSL）・GHOST（glibc）	メモリ上の機密情報が漏洩
権限昇格	WalletService（CVE-2026-49176）・多数のOS CVE	一般ユーザーが管理者権限を取得
サプライチェーン	SolarWinds SUNBURST・XZ Utils（CVE-2024-3094）	正規の更新プログラムを通じて侵害
設定ミス	パブリッククラウドのアクセス権設定ミス	内部データが外部から丸見えに
ゼロデイ	発覚時点でパッチなし。攻撃が先行	防ぐ手段がなく被害直結

脆弱性とは何か——NVD・CISAの定義と管理の枠組み

脆弱性とは、システム・ソフトウェア・ネットワーク・ハードウェア・組織のプロセスに存在するセキュリティ上の欠陥・弱点であり、攻撃者に悪用されることで情報漏洩・システム障害・不正アクセス・業務停止といった被害を引き起こすリスク要素です。NISTは脆弱性を「システムのセキュリティ要件、セキュリティポリシー、またはセキュリティ手順のいずれかの要件の充足を妨げる可能性のある弱点」と定義しています。

発見された脆弱性にはCVE（Common Vulnerabilities and Exposures）と呼ばれる識別番号が付与され、NVDで管理されます。NVDには各CVEの深刻度スコア（CVSS: Common Vulnerability Scoring System）が付与されており、0〜10のスコアで重大性を示します。CVSSスコア9.0以上は「クリティカル」、7.0〜8.9は「高」と分類され、対応の優先度の基準となります。

しかしCVSSスコアだけで優先順位を決めることにはリスクがあります。スコアが低くても実際に攻撃者に広く悪用されている脆弱性は多く存在するためです。CISAはこの問題に対応するため、「既知の悪用済み脆弱性カタログ（Known Exploited Vulnerabilities: KEV）」を2021年から運用しています。KEVは「実際に悪用が確認された脆弱性の一覧」であり、連邦政府機関に対してはBOD 22-01（Binding Operational Directive）により一定期間内の修正を義務付けています。CISAは民間組織に対してもKEVを脆弱性管理の優先ソースとして活用するよう推奨しています。

なぜ脆弱性は発生し続けるのか——5つの根本要因

ネットワークエンジニアとサーバーサイドエンジニアを10年経験した立場から言えば、脆弱性の発生は特定の怠慢や失敗だけが原因ではなく、ソフトウェア開発と運用の構造的な特性から避け得ないものです。ゼロにすることはできず、「常に発生する前提で管理する」ことが正しい向き合い方です。

①設計・開発段階でのセキュリティ配慮不足——機能実装を優先するスプリント開発の中で、セキュリティレビューが後回しにされる構造的問題があります。入力値の検証が実装されなかった・認証処理に漏れがあった・暗号化の実装が誤っていたなど、コードレビュー段階で防げた脆弱性が後になって発見されることは珍しくありません。

②プログラムのバグと実装ミス——熟練したエンジニアであっても、バッファオーバーフロー・メモリリーク・整数オーバーフローのようなバグをコードに入れ込んでしまうことがあります。特に低水準言語（C・C++）で書かれたコンポーネントはメモリ管理の実装ミスが脆弱性に直結しやすく、Heartbleed（OpenSSL）やEternalBlue（Windows SMB）はその典型例です。

③クラウドや運用上の設定ミス——システムの設定ミスによる情報漏洩は国内でも継続して確認されています。クラウドのS3バケットのアクセス制御設定ミスで個人情報が外部から閲覧可能だったケース、VPNやファイアウォールのデフォルト設定が変更されないまま本番環境で使用されているケースなどが代表的です。

④パッチ適用の遅れ——脆弱性が発見されてパッチが提供されても、実際に適用されるまでに時間がかかる組織は多くあります。互換性確認・テスト環境での検証・システム停止を伴う適用作業など、適用を遅らせる現実的な理由があり、その間に攻撃者に悪用されます。2017年のEquifax侵害（1億4,700万件の個人情報漏洩）も、既知のパッチが存在するにも関わらず適用されていなかったApache Strutsの脆弱性（CVE-2017-5638）が起点でした。

⑤オープンソース・サプライチェーンリスク——現代のソフトウェアはオープンソースライブラリへの依存が深く、自社コードよりも依存コンポーネントの脆弱性を経由した攻撃が増えています。Sonatype「2025 State of the Software Supply Chain」によると、オープンソースパッケージへの悪意ある攻撃は前年比156%増でした。GitHubが提供するCode Security Risk Assessmentのような無料ツールを使って依存関係の脆弱性を可視化することが、現代の開発組織に求められています。

歴史が証明する重大脆弱性の実例——「放置」が招いた壊滅的被害

過去に実際に大規模被害をもたらした重大な脆弱性は、脆弱性管理の重要性を最も説得力ある形で示しています。

EternalBlue（CVE-2017-0144）——NSAが開発し流出した兵器級の脆弱性

EternalBlueはMicrosoft WindowsのSMBプロトコルに存在したバッファオーバーフロー脆弱性です。米国家安全保障局（NSA）が開発した攻撃ツールがShadow Brokersによって流出し、2017年5月のWannaCryランサムウェア攻撃と同年6月のNotPetya攻撃の中核として利用されました。WannaCryは150カ国以上・20万台以上のコンピューターを感染させ、英国NHS（国民保健サービス）では病院システムが停止して手術がキャンセルされる事態になりました。Maerskはシステム全体を再構築し、被害額は3億ドルに上りました。Microsoftはパッチ（MS17-010）を2017年3月に公開していましたが、多くの組織が適用していなかったことが被害拡大の原因です。

Log4Shell（CVE-2021-44228）——JNDIインジェクションによるCVSSスコア10.0のRCE

Apache Log4j2に存在したリモートコード実行の脆弱性で、CVSSスコアは満点の10.0です。2021年12月9日に公開されると同日から世界中で悪用が始まり、CISAは「これまでで最も深刻な脆弱性の一つ」と評価しました。Apple・Amazon・Microsoft・Tesla・Twitter（現X）をはじめとする世界中の主要サービスが影響を受け、1億台以上のデバイスが潜在的に脆弱な状態にありました。特に深刻だったのは、Log4jがJavaベースのほぼあらゆるシステムに組み込まれている「依存ライブラリ」だったため、影響範囲の把握自体が困難だった点です。2026年の時点でも未修正のシステムが存在し、KEVカタログに掲載され続けています。

ProxyLogon（CVE-2021-26855 ほか）——Exchangeサーバー全体が一瞬で陥落した国家レベルの攻撃

Microsoft Exchange Serverのゼロデイ脆弱性（CVSSスコア9.8）で、SSRF（サーバーサイドリクエストフォージェリ）を起点に認証バイパス・権限昇格・RCEを連鎖させる攻撃チェーンです。2021年3月の発覚時点で、すでに中国系APTグループ「Hafnium」が政府機関・防衛・法律事務所・感染症研究機関などを標的に攻撃を行っており、世界25万〜26万台のExchangeサーバーが侵害されたとされています。CISAは初めて緊急指令（Emergency Directive）21-02を発令し、連邦機関に24時間以内のパッチ適用を命じました。

Heartbleed（CVE-2014-0160）——HTTPSの「南京錠」が信頼を失った日

OpenSSLのTLS/DTLSハートビート拡張に存在したバッファ読み取り過剰の脆弱性です。攻撃者は脆弱なサーバーから最大64KBのメモリを繰り返し読み取ることができ、秘密鍵・セッションCookie・パスワードを取得できました。特に深刻だったのは「ログが残らない」という特性で、自分が攻撃されていたかどうかを事後に判断できない点でした。発覚当時、Webサーバーの約66%でOpenSSLが使われており、銀行・医療・政府サイトが一斉に影響を受けました。この事件はオープンソースの基盤ライブラリに対するセキュリティ投資の重要性を全世界に知らしめました。

SolarWinds SUNBURST（2020年）——ソフトウェア更新が攻撃の入口になった

SolarWindsのネットワーク管理ソフトウェア「Orion」の正規の更新ファイルにロシア系APTグループ（Cozy Bear/APT29）がバックドアを仕込み、18,000以上の組織がそれをダウンロードしました。米財務省・国防総省・NSA・国務省・エネルギー省等の政府機関が9か月間にわたって侵害されていたことが後に判明しました。CVEとして識別されるソフトウェアの技術的脆弱性ではなく、サプライチェーンを通じた信頼の悪用という手口は、現代の脆弱性管理が「自社のコードだけ」では完結しないことを示しました。

近年の重大CVE（2024〜2026年）

2023年5月に発覚したMOVEit Transfer（CVE-2023-34362）は、SQLインジェクションからRCEへの連鎖で、CL0Pランサムウェアグループが悪用して政府機関・金融・医療など世界2,500組織以上のデータを窃取しました。Ivanti Connect Secure VPNの複数のゼロデイ（CVE-2025-0283等）は2025年初頭から国家支援APTに悪用されており、CISAが緊急アドバイザリを発令しました。2026年7月にはKindaRails2Shell（CVE-2026-66066）のように公開後数時間以内にPoCが作成される可能性が高いRCE脆弱性が相次いでおり、パッチ適用の猶予期間が実質ゼロになりつつあります。

CISAのKEVカタログ——実際に悪用されている脆弱性の優先ソース

CVSSスコアが高いからといって攻撃者が必ず悪用するわけではありません。逆にスコアが低くても実際に大量悪用されているCVEは多く存在します。この「スコアと現実の悪用状況のギャップ」を埋めるために設計されたのがCISAのKEVカタログです。

2026年7月27日時点でKEVには1,655件のCVEが掲載されており、それぞれに「連邦機関の修正期限」が設けられています（BOD 22-01：新規CVEは2週間以内、2021年以前のCVEは6か月以内）。民間組織に法的義務はありませんが、「実際に攻撃に使われている確証がある脆弱性のリスト」として脆弱性トリアージの基準として活用することをCISAは推奨しています。

EPSSスコア（Exploit Prediction Scoring System）との組み合わせも有効です。CVSSがシステムの「理論的な深刻さ」を測るのに対し、EPSSは「過去のデータから見た30日以内の悪用確率」を予測します。KEVに掲載されていること、EPSSスコアが高いこと、自社環境での露出があることの3条件が重なるCVEを最優先に対処することが現実的な運用です。

企業が取るべき脆弱性管理の実践

①脆弱性情報の定期的な収集——信頼できるソースを一元化する

CISA KEVカタログ・IPA「情報セキュリティ10大脅威」・JPCERT/CC・NCSC UK・対象製品のベンダーアドバイザリを定期的に確認する体制を整えます。Apache ActiveMQの脆弱性（CVE-2026-42588・CVE-2026-45505）のように、広く使われているミドルウェアの脆弱性は企業の対応速度が問われます。

②資産管理と脆弱性スキャンの組み合わせ

管理対象のシステム・ソフトウェア・ライブラリの一覧（SBOM: Software Bill of Materials）を整備し、脆弱性スキャナーを使って定期的にチェックすることで、どのシステムに既知の脆弱性が存在するかを把握します。把握できていないシステムはパッチを当てることも不可能です。

③優先順位付け——KEVとEPSSを活用したリスクベース管理

すべての脆弱性に等しく対応することは現実的ではありません。KEVへの掲載・CVSSスコア・自社環境への影響度・EPSSスコアを組み合わせてリスクを評価し、有限なリソースを高リスクの修正に集中させます。

④パッチ適用の速度と確認

Mandiantのデータが示す「平均-7日のエクスプロイト」という現実は、パッチが公開されたら遅滞なく適用することの緊急性を示しています。自動適用が困難なシステムについては、WARやVirtual Patchingを暫定措置として活用しながら本格的なパッチ適用を進める計画を立てます。

⑤侵入後の検知——EDRとログ監視の整備

脆弱性をゼロにすることはできないため、侵入されても検知できる体制が不可欠です。EDRの導入とエンドポイントのログ監視は、脆弱性を突いた侵入後の横移動を検知する最後の防衛線となります。CISAのインシデント対応事例では「EDRアラートが監視されていなかったため3週間検知が遅れた」という教訓が記録されています。

⑥外部からの視点——脆弱性診断・ペネトレーションテスト

自社の目線だけでは見つけられない脆弱性を発見するために、第三者による脆弱性診断とペネトレーションテストを定期的に実施することが有効です。特に公開Webシステムやリモートアクセス環境（VPN・RDP）は攻撃者から常にスキャンされており、診断の優先度が高い対象です。