脆弱性の背景と今後：なくすのが難しい理由と、よくある疑問
脆弱性は、OSやソフトウェアの安全面の欠陥で、放置すると不正アクセスや情報漏えいにつながるおそれがあります。2026年10月には、AIが見つけたPHPの重大な脆弱性に各国が対応していると、BBCが伝えました。ただ、今後の見通しはまだ分かっていません。
目次
脆弱性は、安全面の弱点のこと
脆弱性とは、OSやソフトウェアの不具合や設計ミスでできる、安全面の欠陥のことです。
すべての不具合が脆弱性になるわけではありません。安全に関わるものが、脆弱性と呼ばれます。
セキュリティホールや脅威とは何が違うのか
IPAは、脆弱性を「セキュリティ上の弱点で、セキュリティホールとも呼ばれる」と説明しています。セキュリティホールは、脆弱性とほぼ同じ意味で使われることが多いです。
ただ、セキュリティホールと脆弱性を区別して説明する資料もあります。また、脅威は攻撃など損害を与えうるもので、脆弱性はその脅威に悪用されうる弱点です。
| 用語 | 意味 |
|---|---|
| 脆弱性 | 安全面の弱点。脅威に悪用されうる |
| セキュリティホール | 脆弱性とほぼ同じ意味で使われることが多い |
| 脅威 | 攻撃など、損害を与えうるもの |
なぜ脆弱性は生まれるのか
脆弱性が生まれる原因には、次のようなものがあります。
開発元が出す修正プログラム（パッチ）を当てないと、既知の脆弱性が残ったままになります。
- 設計や実装のミス
- 設定ミス
- 更新をしないこと
- サポートが終わった製品の利用
放置するとどうなるのか
脆弱性を放置すると、不正アクセス、情報漏えい、マルウェア感染、業務停止などにつながるおそれがあります。
代表的な脆弱性の種類には、次のようなものがあります。
- SQLインジェクション
- クロスサイトスクリプティング
- OSコマンド・インジェクション
- バッファエラー
ゼロデイ攻撃とは何か
ゼロデイ攻撃は、開発元が欠陥に気づく前や、修正が出る前の脆弱性を狙う攻撃です。完全に防ぐのは難しいものの、被害を小さくする対策はできます。
また、サポートが終わった製品は、新しい脆弱性が見つかっても原則として修正されません。
これからについて：なくすのは難しい
脆弱性は完全になくすのが難しく、新しいものが毎日見つかっています。そのため、続けて対策する必要があります。
2026年10月、PHPの重大な欠陥が注目されました。PHPは世界中で使われ、インターネットの相当部分を支える言語だと報じられています。PHPのセキュリティチームは2026年10月21日、二つの重大な欠陥を直す修正プログラムを公開しました。
セキュリティ企業のWizは、今回の欠陥をこれまでで「最も深刻」と述べました。発見に使われた技術を出した米オープンAIは、近年で最も影響が大きい問題の一つと呼んでいます。
BBCは、PHPの重大な脆弱性で多くのウェブサイトが休止したと伝えました（2026年10月22日）。2026年10月26日には、PHPの複数の脆弱性（CVE-2026-109618、CVE-2026-109619）に関する注意喚起が更新されました。11月1日の動向分析でも、重大な脆弱性の修正対応が続いていると書かれています。
ほかにも、WordPress本体のパストラバーサル脆弱性（CVE-2026-87902）への攻撃が確認されたという報告があります。Microsoftも、毎月の定例パッチで多数の脆弱性を修正しています。
次のことは、まだ分かっていません。
- PHPの二つの欠陥の具体的な中身と、悪用された事例があるか
- 休止したウェブサイトの数や、被害の全体像
- 今も対応が必要なサイトがどれくらい残っているか
- AIがどのように欠陥を見つけたのかの詳しい方法
- 今後も同じような発見が増えるかどうか
| 日付 | 出来事 |
|---|---|
| 2026年10月21日 | PHPのセキュリティチームが二つの重大な欠陥の修正プログラムを公開 |
| 2026年10月22日 | BBCが、PHPの重大な脆弱性で多くのウェブサイトが休止したと報道 |
| 2026年10月23日 | BBCが、AIによる発見と各国の対応を解説する記事を公開 |
| 2026年10月26日 | PHPの複数の脆弱性に関する注意喚起が更新 |
| 2026年11月1日 | 動向分析で、重大な脆弱性の修正対応が続いていると記載 |
よくある疑問と、守るための基本
脆弱性の情報は、IPAなど公的機関や、開発元のサイトなどから集められます。対策の基本は、最新のパッチ適用、定期的な脆弱性診断、IT資産の管理、権限管理、教育などです。
自社が使う機器やソフトを把握していないと、どれが影響を受けるか判断できません。
脆弱性管理は、IT資産の把握、情報収集、リスク評価、パッチ適用の4段階で進めます。リスク評価では、CVSSスコアだけで決めず、公開からの経過時間や悪用の可能性も見る必要があります。
警察庁の調査（被害103件）では、ランサムウェアの感染経路はVPN機器からの侵入が71%で最多でした。クラウドでは、利用者側の設定やログイン情報の管理でリスクが変わります。多要素認証は基本対策の一つです。
| 段階 | 内容 |
|---|---|
| IT資産の把握 | 使っている機器やソフトを確認する |
| 情報収集 | 公的機関や開発元から脆弱性の情報を集める |
| リスク評価 | CVSSスコアに加え、公開からの経過時間や悪用の可能性を見る |
| パッチ適用 | 開発元の修正プログラムを当てる |
よくある疑問
脆弱性とは、結局どういうものですか？
OSやソフトウェアの安全面の欠陥です。攻撃に悪用されると、不正アクセスなどにつながるおそれがあります。
セキュリティホールと脆弱性は違うのですか？
ほぼ同じ意味で使われることが多いです。説明によっては、両者を区別することもあります。
脆弱性が見つかったら、どうすればいいですか？
開発元が出す修正プログラム（パッチ）を当てるのが基本です。自社が使う機器やソフトを把握しておくことも大切です。
脆弱性を全部なくすことはできますか？
完全になくすのは難しく、新しいものが毎日見つかっています。そのため、続けて対策する必要があります。
サポートが終わった製品は、どうなりますか？
新しい脆弱性が見つかっても、原則として修正されません。
PHPの件は、今も注意が必要ですか？
2026年11月1日の動向分析でも、重大な脆弱性の修正対応が続いていると書かれています。今も対応が必要なサイトがどれくらい残っているかは、まだ分かっていません。
あわせて読みたい
同じ分野の新しい記事
