VulnCheckが2026年7月28日に公開した「State of Exploitation」レポート(2026年上半期版)によると、ハッカーによる脆弱性の悪用スピードはかつてないほど加速しており、脆弱性の4件に1件近くが公開と同日、あるいはそれ以前に悪用されていることが明らかになりました。
ハッキング&クラッキング
VulnCheckは2026年上半期に495件の既知悪用脆弱性(KEV)を特定しました。このうち23.43%は、CVE(共通脆弱性識別子)としての開示日以前、または開示当日に悪用された形跡が確認されています。
この数値は2025年の28.93%をやや下回るものの、悪用ペース全体は依然として大きく加速していることを示しています。CVE公開から実際の悪用までの中央値は、2025年の120日から2026年にはわずか80日にまで短縮されました。
これは、開示前の悪用がわずかに減少している一方で、脅威アクターが脆弱性をより迅速に実戦投入していることを示唆しています。
脆弱性の4件に1件近くが悪用される実態
初期段階での悪用ペースはほぼ一定で、開示から31日以内に悪用されるCVEは約200件と、過去数年と同水準です。ただし、CVE総数が急増しているため、全体に占める割合としては小さくなっています。
今回のレポートでは、脆弱性の開示件数と悪用件数のギャップが拡大していることも指摘されています。2026年上半期のCVE件数は45%急増した一方、KEVの件数は10%の増加にとどまりました。その結果、KEV対CVEの比率は、2023年のピーク時の2.7%から1.4%にまで低下しています。
これは、自動化やAI支援による研究の進展もあって発見される脆弱性の数自体は増えているものの、そのすべてが即座に兵器化されているわけではないことを示しています。とはいえ、悪用は開示から遅れて発生する傾向があるため、現在の数値は今後変動する可能性があります。
コンテンツ管理システム(CMS)は、全KEVのおよそ3分の1を占め、最も標的とされた技術カテゴリーとして浮上しました。
WordPressプラグインをはじめ、DrupalやGhostといったプラットフォームの脆弱性が盛んに悪用されており、これは世界各国のサイバーセキュリティ機関が警告してきた大規模なキャンペーンの傾向を反映しています。
ネットワークエッジデバイスも依然として主要な標的であり、Cisco、Palo Alto、Fortinet、Juniperといったベンダー製品の脆弱性が悪用されています。これらのシステムは、攻撃者が企業環境へ侵入する重要な入口であり続けています。
脆弱性診断サービス
さらに、セキュリティツールや開発者向けプラットフォーム、デバイス管理システムは、その特権的なアクセス権限と広範な導入状況ゆえに、より速いペースで悪用されています。
懸念が高まっているものの、AI支援による脆弱性発見は今のところ悪用率の上昇にはつながっていません。AI主導の発見によるものとされる1,061件の脆弱性のうち、悪用が確認されたのはわずか14件(1.3%)にとどまり、これは全体の悪用率とほぼ一致する数値です。
一方で、AI技術そのものが標的になりつつあります。悪用されたシステムには、モデル構築プラットフォーム、AIゲートウェイ、ワークフロー自動化ツールが含まれます。
確認された事例の一つでは、攻撃者がLangFlowの脆弱性(CVE-2026-0769およびCVE-2026-5027)を悪用してアクセス権を取得し、認証情報を窃取したうえで、暗号資産マイナーを展開し、横展開も試みていました。
2万3,000件を超える発見報告を行ったAnthropicの「Project Glasswing」も、これまでのところCVE化に至ったのはわずか126件で、実際に悪用が確認されたのはたった1件にとどまっています。これは、AI主導の発見が現時点でどれほど現実世界に影響を与えているのか、という疑問を投げかける結果です。
これらの調査結果は、迅速なパッチ適用とリスクベースの優先順位付けの重要性を改めて浮き彫りにしています。CISAの拘束的運用指令(BOD)26-04では、悪用が確認されている脆弱性、影響度の高い脆弱性、あるいは外部に公開されている脆弱性について、わずか3日以内の修復を推奨しています。
AIが脆弱性の全体像を拡大させている一方で、現時点のデータが示すのは、その役割が発見数の増加にとどまり、直接的なリスクの増幅にはつながっていないという点です。防御側にとっては、攻撃者に先んじて脆弱性を特定し修復するための貴重な猶予期間が生まれていると言えるでしょう。
ALERT: 20+ government sites delivered malware to businesses and citizens. See full attack research to check your own exposure.
翻訳元: https://gbhackers.com/hackers-exploit-nearly-1-in-4-vulnerabilities/
