2026年9月11日

近年、システムを構成するソフトウェアの多様化、AI活用による脆弱性発見の加速に伴い、すべての脆弱性に即座に対応することが難しくなってきています。このような環境においては、脆弱性を放置した場合のリスクを具体的に把握した上で、脆弱性対処の優先度を考慮していくことが重要となります。本ブログでは、ある環境を想定した具体的な攻撃の脅威について説明します。

目次

脆弱性対処の現状と優先度付けの考え方

近年、企業で用いるシステムは高度化し、システムを構成する製品・サービスおよびそれに含まれるソフトウェアは多岐に渡るようになりました。加えて、AIの活用による脆弱性の発見が加速[1]しているため、すべてのソフトウェアにおいてただちに漏れなく、パッチ適用の影響を評価した上でバージョンアップを行っていくということは難しくなってきています。

一方、ランサムウェアによる被害報告件数は令和7年においても226件と高水準にあり、その結果、100万件以上の顧客や従業員等の個人情報が漏えいまたはそのおそれがあるとして、被害の大きいインシデントも発生しております[2]。

ランサムウェア感染含め不正アクセスのインシデントの起点となりやすい点として、ソフトウェアの脆弱性や設定ミス、認証情報の不正取得などがあげられます。脆弱性への対応では、影響度や緊急度に応じて対応の優先順位を決める”トリアージ”という考え方があり、多くの団体からも、トリアージに関するガイドラインやナレッジ[3]が提供されてきています。

このように、個々の指標だけでなくシステム全体の文脈で判断することが、限られたリソースで効果的な優先対処につながります。

トリアージの観点として、主に採用されるのは、CVSS[4]やEPSS[5]、SSVC[6]などの各指標です。CVSSは脆弱性の深刻度を表す指標、EPSSは公開された脆弱性が今後30日以内にサイバー攻撃で悪用される確率、SSVCは対処優先度を判定するフレームワークであり、これらを組み合わせて対処の優先度を決めるという考え方がスタンダードです。ただし、効果的な脆弱性の対処を行うためには、それぞれの脆弱性単体で個別に判断するだけではなく、システムの中でその機器やソフトウェアが果たす役割を踏まえた上で、総合的に判断していくことが必要です。

今回の記事では、「システムにおいて、攻撃を受けた際に、脆弱性を放置したままであればどういった問題があり、対策としてパッチ適用以外に何ができるのか」の観点で、主要なソフトウェアについて説明します。

ソフトウェア種別ごとの攻撃リスクと対処

想定する環境として、ECサイトのように、不特定多数の利用者に公開するシステムではなく、企業のネットワークを構成する環境を考えます。

総務省が発行する「テレワークセキュリティガイドライン(第5版)」[7]においては、企業のネットワーク構成について、リモートデスクトップ方式、仮想デスクトップ（VDI）方式など、様々な構成が公開されております。今回はシンプルな環境として、図1の環境を想定します。

図1を確認すると、まずは業務を行うクライアント端末や各種業務サーバがイントラネット内に設置されています。その上で、出社してその端末を用いる社員もいれば、外出やテレワークで、手持ちのノートパソコンから、VPN機器を通してリモートで端末にアクセスする社員もいます。

本章では上記のシステムを対象として、システムを構成する代表的な4種類のソフトウェア（ファームウェア、OS、ミドルウェア、アプリケーション）について、それぞれ以下の観点で整理をします。

ファームウェア

VPN機器などで、特に社外との境界に位置する機器のファームウェアに対する脆弱性については、インターネット等外部に露出していることもあり、早急な対処が必要です。脆弱性を放置すると、認証情報を攻撃者が持っていなくても認証をバイパスして不正にアクセスできるなど、ネットワーク内部への侵入に繋がる攻撃が成立する場合があります。重要度の高い箇所ですので、恒久策がただちに打てない場合に備えて、特定の攻撃を想定したログ・アラートの監視を一時的に強化することや、脆弱性の残存している機能を一時的に停止し代替運用にするといった代替策も併用することが望ましいです。

社外との境界でないネットワーク機器の場合においても、攻撃者が侵入後に、ネットワークセグメンテーションを横断した横展開による侵入拡大を許すなど、被害の拡大に影響することがありますので、適切な対処が必要です。

OS (Operating System)

OSの脆弱性は、このようなネットワーク構成においては、侵入後の被害拡大に影響するような攻撃の手がかりとなり得ます。権限昇格、セキュリティ機能が無効化されるなど、ただしく脆弱性対応が行われていれば発生しなかった攻撃を受け、横展開を行われてしまう可能性が高まります。

このようなリスクがあるにも関わらず、OSの脆弱性対処が難しい理由として、まずは、ソフトウェアの規模が大きく、利用者も多く、広く使われているため、アップデートの頻度がミドルウェアやアプリケーションよりも一般的に多い点が挙げられます。加えて、環境内の多くの端末で対処が必要であり、適用の台数が多くなります。そのため、半期や一年ごとにまとめて適用しようとする運用の結果、数ヶ月分のアップデートが適用されず放置され、重要な脆弱性が残存しているケースが存在します。

OSは多数の機能を有するため、代替策で影響が無いようにするのは難しい部分があります。ですので、普段使っていない機能やサービスを停止する、セキュリティログやアプリケーションログを定期的に確認するプロセスを設ける、クライアントファイアウォールの設定など、不要な通信を遮断するように設定するといった、脆弱性の影響を軽減する代替策を併用する方法が考えられます。

ミドルウェア

ミドルウェアの脆弱性について、Webサーバなどが外部のインターネットに公開されていないケースでも、OSの脆弱性と同じように、侵入後の横展開のために脆弱性が悪用される可能性があります。OSに脆弱性がなくても、ミドルウェアに脆弱性が残存していて、コマンド・APIを含め侵入後の端末から到達可能であれば、権限の無かった機能・データにアクセスできる攻撃が発生する可能性が残ります。

ミドルウェアの脆弱性においては、特定の機能やAPIに脆弱性があるケースも多く、パッチがただちに適用できない場合には、一時的に機能やAPIの利用を停止し、代替のプロセスを設ける方法があります。また、管理画面や管理機能にアクセスできるユーザを絞るなど、権限を最小限にすることで影響を抑える方法も考えられます。

アプリケーション

業務アプリケーションは、OSやミドルウェアと同様に侵入後の被害拡大に悪用される一方で、標的型攻撃の起点となりうる点が特徴的です。

今回のシステムのように、VPN機器を用い社外との境界を設けて防御する構成であったとしても、ネットワーク内にいる業務端末を利用する社員宛に送付された標的型攻撃メールに添付されているファイルをダウンロード・実行し、アプリケーションの脆弱性を突かれ、本来ガードできたはずのマルウェアのインストールを許し、そこから情報奪取、横展開に繋がっていく可能性があります。

アプリケーションに対する代替策は、これまでのように、ログ・アラートの確認、WAFの導入、脆弱なアプリケーションの一時停止も有効な方法になります。加えて、標的型攻撃メールに含まれる添付ファイルを想定すると、OSやセキュリティソフトが持つアプリケーション実行制御機能を用い、未許可の実行ファイルやスクリプトの起動や、文書ファイルからのコマンド実行などを制御する代替策も存在します。

システム全体での脆弱性対処の考え方

ここまでしてきた整理を図1にマッピングすると、例えば以下の図6のようになります。

外部にいる攻撃者から到達するシナリオを考えると、2つの主な侵入方法が考えられます。

さらに、脆弱性によって突破され得る箇所を図示してみると、インターネットとの境界部分はもちろん、内部のネットワークセグメントを問わず、あらゆる箇所にリスクが潜んでいることがわかります。

ただし、VPN機器のバージョンアップが不十分で内部に侵入されたとしても、侵入後の端末からアクセス可能な領域において脆弱性対策が十分にできていれば、攻撃の影響の制限・緩和に繋がり、復旧も含めた損失を最小限に抑えることに繋がります。同様に、恒久策のケアがシステム構成上難しい箇所においては、重点的に代替策を導入することにより、同じく被害を最小限に抑えることに繋がります。

このように、すべての恒久策がただちに取れない状況においては、システムの全体像を想定した上で、対処の順番や内容を吟味していくことが、より良い対策に繋がります。

さいごに

今回は、個々の脆弱性の評価というアプローチではなく、脆弱性を放置した場合に、システムにおいてどのような攻撃が想定されるのか、また、パッチが適用できない場合の代替策の例を元に整理を行いました。本記事の内容を活用し、システム全体を通じてリスク・脅威を明確にし、コストが限られる中で効果的な対策を実行していくことで、インシデントの発生および拡大を防ぐことに繋げていただくための助けとなればと思います。

参考文献

執筆者の他の記事を読む