パッチギャップ問題:防御側が「チェックリスト」ではなく「連鎖」で考えるべき理由

OPINION

2026年4月7日、Anthropicは「Project Glasswing」を発表し、すべてのセキュリティチームの業務の在り方を一変させました。AIフロンティアモデル「Claude Mythos」は、主要なオペレーティングシステムやWebブラウザの欠陥を含む、数千件に及ぶ高深刻度の脆弱性を発見しました。その多くは、数十年にわたる人手によるレビューや自動セキュリティテストをすり抜けてきたものです。しかし、そのうち完全にパッチが適用されたのは1%未満にとどまっています。これはパッチ管理の問題ではなく、パッチ物理学とでも呼ぶべき問題です。人間の時間軸で動く修復サイクルでは、機械の速度による脆弱性発見に太刀打ちできません。

Mythos登場前の2025年時点で、公開されたCVEは46,407件に達し、2024年の40,009件から16%増加していました。米国国立標準技術研究所(NIST)は2025年に約42,000件のCVEをエンリッチしており、これは過去最多を45%も上回る数字でしたが、それでも増え続ける提出件数のペースには追いつけませんでした。

この状況を土台に、Mythosによる脆弱性発見が積み重なる事態を想像してみてください。発見された脆弱性は、あらゆる企業へと下流に波及していきます。カーネルや広く使われているオープンソースライブラリに重大なゼロデイが見つかれば、CVEが公開され、スキャナーのシグネチャが更新され、そのソフトウェアを使用しているすべての組織に新たな重大な検出結果が突きつけられることになります。

これと並行して、悪用までの猶予期間にも目を向ける必要があります。2018年時点では、脆弱性の開示から初めて悪用が観測されるまでの期間の中央値は771日でした。それが2021年には84日、2023年には6日、そして2024年にはわずか4時間にまで短縮されています。しかもこれで終わりではありません。2024年のMandiantの分析では、さらに衝撃的な事実が判明しています。悪用までの平均日数がマイナス1日、つまり攻撃者はパッチが公開される前から脆弱性を悪用し始めているのです。

INDUSFACEの報告にもある通り、悪用までの期間の中央値は現在5日を切っている一方、重大な脆弱性の修復にかかる平均日数は60日を超えています。攻撃者の速度と防御側の速度には、実に12対1もの差が存在しているのです。この数字が示す現実は厳しいものです。

従来の脆弱性管理では、CVSSスコアで並べ替え、9や10のスコアからパッチを適用し、重大な項目のキューを一掃してからリストを下っていくというやり方が取られてきました。一見すると体系立っているように見えますが、このやり方はもはや通用しません。CVSSはそもそもパッチ適用の優先順位付けのために設計されたものではありませんが、それにもかかわらず多くのセキュリティチームにとってのデフォルトの運用ロジックと化してしまいました。問題は構造そのものにあります。CVSSスコア単体では、抽象化されたターゲットに対する最大限の影響度しか測れないのです。

2025年には、実際に悪用された脆弱性のうち28%がCVSSベーススコアで「中」評価でした。つまり、CVSS優先で優先順位を付けている組織は、攻撃者が実際に悪用している脆弱性の4分の1以上を、事実上後回しにしてしまっていることになります。FIRSTの事務局長Chris Gibson氏は、CVSSベーススコアのみで優先順位付けを行う組織について「もっとも不適切で不正確なやり方だ」と述べています。

「Operation Lunar Peek」では、CVSS 6.9(中)のCVE-2024-9474が、CVSS 9.3(重大)のCVE-2024-0012を回避する形で悪用され、結果としてPalo Alto Networksのファイアウォール2,000台が侵害されました。CVSS上ではキュー内の別々の2項目として扱われていましたが、攻撃者からすればそれは一続きのキルチェーンでした。このギャップこそが、現実に存在する脆弱性なのです。

チェックリストではなく連鎖で考える

パッチをより速く適用し、スコアリングをより厳密にするだけでは、量の問題も優先順位付けの問題も解決できないのであれば、枠組みそのものを変える必要があります。セキュリティチームが問うべきは「単体で見てどの脆弱性がもっとも深刻か」ではなく、「未パッチのまま放置した場合、攻撃者の足がかりから自組織のもっとも重要な資産まで、一続きの経路を作り出してしまう脆弱性はどれか」という問いです。

この枠組みの転換が指し示す先にあるのが、グラフベースの経路モデリングです。グラフベースのモデルは、攻撃経路の集約や資産間の相互依存関係を組み込むことでリスク評価を提供します。たとえば攻撃ツリーは、脆弱性同士の関係性を評価し、複数の脆弱性を抱える資産のリスクスコアを算出します。このモデルでは、環境を有向グラフとして表現します。ノードは資産やシステムの状態に対応し、エッジはそれらの間で悪用可能な遷移を表します。初期アクセスからドメインコントローラー、そして最重要資産(クラウンジュエル)へと移動する攻撃者は、このグラフ上の一つの経路をたどっていることになります。セキュリティチームの仕事は、その経路をどこで断ち切るかを見極めることです。

個々の脆弱性を単独で分析する手法は、攻撃者が1台のマシン上の単一の脆弱性だけを侵害して終わるのではなく、そのマシンのリソースを足がかりに他の設定不備や認証情報を次々と悪用していくような環境では機能しません。ここでこそ、脆弱性の連鎖(チェーン)という視点がギャップを埋める役割を果たします。

攻撃経路をグラフとしてモデル化した後に問うべき次の問いは、「どのノードを一つ取り除けば、最も多くの攻撃経路を同時に遮断できるか」です。これはまさに、脆弱性グラフにおける最小頂点カット問題であり、重要資産へと至る攻撃者の経路を最大数遮断できる、最小限の脆弱性の集合を特定する作業にほかなりません。

この枠組みの転換は、パッチ適用の優先順位そのものを一変させます。ドメインコントローラーへ至るあらゆる経路の交差点に位置する、深刻度「中」の認証情報漏えいは、たとえCVSSスコアが逆の優先順位を示していたとしても、ネットワークから隔離されたサーバー上の重大なRCEよりも優先してパッチを当てるべき対象となり得ます。セキュリティチームは、「このインターネット公開の脆弱性は本番データベースに到達し得るか」といった到達可能性についての問いを立て、ボトルネックとなる箇所を特定し、実際の露出状況に基づいて修復の優先順位を付けるといった、迅速な対応を取ることができます。

このアプローチの実務上の価値は、優先順位付けだけにとどまらず、時間を稼げる点にもあります。もっとも多くの攻撃経路を遮断する脆弱性から修復していくことで、組織は直近のリスクを低減しつつ、優先度の低い脆弱性に対応するための時間を確保できます。脆弱性を個別に扱う従来のCVSS主導型のパッチ適用とは異なり、ボトルネックを狙ったパッチ適用は、重要資産へ至る連鎖を断ち切ることに主眼を置いています。攻撃者がAIを駆使して脆弱性を発見するようになった今、防御側もまた、脆弱性のチェックリスト管理から、攻撃グラフのモデル化、ボトルネックの特定、そして攻撃者の有効な経路の遮断へと軸足を移すべき時が来ています。