Patrickによる新たな分析により、脆弱性が悪用されるタイミングに懸念すべき変化が生じていることが明らかになりました。悪用された脆弱性のおよそ4件に1件近くが、公開日当日、あるいはそれ以前に悪用の兆候を示していたのです。
「State of Exploitation 1H-2026」と題されたこのレポートは、脆弱性の発見、公開、そして実際の悪用という一連の流れの中で、攻撃者が利用できる時間の窓がますます狭まっている実態を浮き彫りにしています。
VulnCheckは2026年上半期において、495件の既知悪用脆弱性(KEV)を追跡しました。その結果、23.43パーセントについて、CVEが公開される前、あるいは公開当日に悪用された証拠が確認されています。
これは2025年に観測された28.93パーセントからはやや減少していますが、より大きな傾向として見れば、攻撃者は依然として脆弱性の詳細情報に早期にアクセスし続けていることが分かります。これは非公開の発見情報、漏洩経路、あるいは並行して行われている研究活動などを通じて実現しているとみられます。
さらに注目すべきは、悪用に至るまでの速度が大幅に上昇している点です。脆弱性が公開されてから実際の悪用が確認されるまでの期間の中央値は、2025年の120日から、2026年にはわずか80日にまで短縮されました。
この加速化は、組織がパッチ適用までの時間をさらに短縮し、理論上の深刻度ではなく実際の悪用リスクに基づいて脆弱性の優先順位を決めていく必要性が高まっていることを示しています。
自動化やAI支援による発見の増加を背景に、CVEの公開件数は急増しているものの、悪用の発生率はそれに比例して伸びてはいません。CVEの件数は前期比で45パーセント増加した一方、KEVの増加はわずか10パーセントにとどまり、結果としてKEV対CVE比率は1.4パーセントへと低下しています。
これは、これまで以上に多くの脆弱性が特定されている一方で、実際に悪用されているのはそのごく一部に過ぎないことを示唆しています。
とはいえ、公開直後の初期段階における悪用件数は、絶対数としては横ばいで推移しています。2026年上半期には、公開から31日以内に悪用された脆弱性が約200件確認されており、これは過去2年間の数値とほぼ一致しています。
コンテンツ管理システム(CMS)は最も標的にされやすい技術カテゴリーとして浮上しており、全KEVのおよそ3分の1を占めています。WordPress、Drupal、Ghostといったプラットフォームは、特に脆弱なプラグインや拡張機能を通じて、悪用の圧力を受け続けています。
この傾向は、Webインフラを標的とした最近の大規模キャンペーンとも一致しており、継続的なパッチ管理と攻撃対象領域の監視の重要性を改めて示すものです。
ネットワークエッジ機器も依然としてリスクの高いカテゴリーであり、Ciscoをはじめとする主要ベンダー、Palo Alto Networks、Fortinet、Juniperなどが悪用データに繰り返し登場しています。
Patrickはまた、脆弱性の発見・悪用におけるAIの役割についても検証しています。AI支援研究によって発見されたとされる1,061件の脆弱性のうち、実際に悪用されたことが確認されたのはわずか14件、1.3パーセントにとどまりました。
この割合は全体の悪用傾向とほぼ一致しており、AIによって発見された脆弱性が本質的により危険というわけではないことを示唆しています。むしろAIは、悪用される可能性そのものを高めるというより、発見件数そのものを押し上げる方向に作用しているようです。
一方で、AIプラットフォーム自体も新たな攻撃対象領域として浮上しつつあります。モデルオーケストレーションツール、AIゲートウェイ、ワークフロー自動化システムに存在する脆弱性はすでに悪用されており、一部の事例では認証情報の窃取にまで発展しています。
これらのデータが示すのは、より現実的な実態です。攻撃者はますます迅速かつ選別的に行動するようになっている一方、防御側は混雑を増す一方の脆弱性情勢の中で、リスクの優先順位付けという課題に絶えず向き合い続けているのです。
SOCの調査における死角を解消し、ANY.RUNで脅威をより早期に封じ込めることで、対応コストと業務への影響を軽減しましょう。
翻訳元: https://cyberpress.org/nearly-1-in-4-exploited-vulnerabilities/