脆弱性38万件のうち悪用されたのは約0.5％ Microsoftが示す「先に対処すべき脆弱性」とは？：セキュリティニュースアラート

脆弱性が公開されてから攻撃に使われるまでの時間は縮まる一方、Windows Serverへのパッチ適用には1カ月超かかり、ネットワーク機器では1年を超える。全てに対処できない中、どれから優先して対処すべきか。Microsoftが悪用された脆弱性の共通点を分析した。

[ITmedia]

　公開される脆弱（ぜいじゃく）性の全てに速やかにパッチを適用するのは難しい。どの脆弱性から優先して対処すべきかは、企業のセキュリティ担当者に共通する課題だ。

　Microsoftは2026年11月2日（現地時間）、1999年〜2026年9月に公開された約38万3000件のCVE（共通脆弱性識別子）を分析し、実際の攻撃に悪用された脆弱性の共通点をまとめた結果を同社のセキュリティブログで発表した。各CVEを攻撃者が得られる影響の種類と対象プラットフォームで分類し、CVE全体と悪用された脆弱性とで分布を比較したものだ。

　Microsoftによると、脆弱性の公開から悪用までの期間は年々、短くなっている。

　CVEの公開から米国土安全保障省サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の「既知の悪用された脆弱性カタログ」（KEV：Known Exploited Vulnerabilities Catalog）に登録されるまでの平均日数は、2024年の89日から2025年は57日、2026年は9月までの時点で20日に短くなった。2026年の中央値は3日だった。VulnCheckの調査によると、2025年に悪用が初めて確認された脆弱性の29％が、CVEの公開日またはそれ以前に悪用されていた（注1）。

　一方、パッチの適用には時間がかかる。Microsoftのエクスポージャー管理ツール（攻撃を受け得る範囲を把握、管理するツール）「Microsoft Security Exposure Management」の2026年のデータでは、脆弱性が修正されるまでの期間の中央値はWindowsのワークステーションで約2週間だが、Windows Serverでは1カ月超、LinuxサーバとmacOS上のアプリケーションでは10週間超、ネットワーク機器では1年超に及ぶ。

　Microsoftは、パッチ適用は欠かせないものの、重要なシステムでは数週間から数カ月かかり、レガシーシステムやサポートが終了したシステムなど適用できないものもあると指摘する。同社の分析では、約38万3000件のCVEのうち、実際の攻撃に使われたことが確認されたのは2056件（約0.5％）だった。

攻撃者が選ぶ脆弱性、選ばない脆弱性

　では、攻撃者はどの脆弱性を選んでいるのか。悪用が確認された2056件を種類別に見ると、全体とは異なる傾向が浮かび上がる。

　Microsoftの分析によると、悪用された脆弱性は種類の分布が全体と大きく異なる。同社は各CVEを、攻撃者が直接得られる最も重大な結果（影響クラス）で分類した。公開されたCVE全体に占める割合と悪用されたCVEに占める割合を比べると、次の3種類は割合が大きく増える。ネットワーク経由で利用者の操作なしにコードを実行できる「サーバサイドのリモートコード実行（RCE）」は20％から37％に増える。低い権限からSYSTEMやrootの権限を得る「ローカル権限昇格」は11％から18％、利用者が悪意のあるファイルなどを開くことで成立する「クライアントサイドのRCE」は4％から13％だ。反対に、クロスサイトスクリプティング（XSS）は15％から4％に、サービス拒否（DoS）は16％から7％に減る。影響クラスとは別の区分で見ると、カーネルやドライバなどOSやシステムコードの脆弱性も、全体の23％から、悪用されたCVEでは41％に上がる。

　Microsoftはこの傾向について、攻撃者がシステムへの実質的なアクセスと制御を得られる脆弱性を好むという見方と合致すると説明する。RCEや権限昇格は攻撃の次の段階につながる足掛かりになり得るのに対し、クラッシュや限定的なスクリプト実行にとどまる脆弱性は、侵害を広げる用途には利用価値が低いためだという。一方で、公表された分類は攻撃者が実際に達成できる結果と一致するとは限らず、RCEとされる脆弱性が実環境ではDoSにとどまる例もあるとして、実証された影響と悪用可能性を把握することが優先順位付けには必要だとしている。

悪用の78％は「システムを乗っ取れる」脆弱性

　Microsoftが優先して対処すべきとするのが、「システムを乗っ取れる脆弱性」だ。

　具体的にはRCEや認証バイパス、ローカル権限昇格が該当し、これらは実際に悪用された脆弱性の78％を占める。攻撃者にとっての脆弱性の価値は「影響」（悪用して得られる結果）と「露出」（資産が持つID、権限、接続先から広がる侵害の機会）で決まると同社は説明する。

　サーバには、業務上の必要性を超える権限を持つサービスアカウントや、クラウドで管理されるIDが割り当てられていることが多い。そのため、サーバが侵害されると、他のリソースや機密データ、管理者権限、信頼されたネットワーク経路への足掛かりになる。露出の高いシステムを完全に制御できる脆弱性は、オンプレミスやクラウドの環境全体の侵害につながり得る。そのため、こうした脆弱性から優先して対処することが、修正への投資効果を最も高めるという。

　AIを活用した脆弱性の発見やエクスプロイト（脆弱性を悪用する攻撃コード）の開発によって、防御側が対応できる時間はさらに短くなる可能性があるとし、より速い対応を迫られるとMicrosoftは指摘する。

　次に注意すべきものとして、同社は次の2点を挙げる。可用性が最も重要な資産に対するDoSの脆弱性と、認証情報やシークレット（APIキーなどの秘密情報）の漏えいにつながる脆弱性だ。DoSは一般には復旧できるが、稼働の継続が最優先となる領域では致命的になり得る。認証情報の漏えいは単独では軽微でも、特権IDを経由した侵害経路につながるとしている。

（注1）VulnCheck「State of Exploitation 2026」（2026年1月21日）https://www.vulncheck.com/blog/state-of-exploitation-2026