新たに公表されるセキュリティ上の欠陥への対応猶予は、ますます短くなっています。エクスプロイトコードは瞬く間に出回り、悪用可能性は公表直後から検証可能となり、しかも組織側が精査すべき弱点の数は増える一方です。Rapid7の「Q2 2026年脅威動向レポート」によれば、深刻度が「高」または「重大」に分類される脆弱性の公表件数は8,539件に達し、これは1年前の2倍に相当します。
出典: Rapid7
こうした急増により、数ある問題の中からどれに直ちに対応すべきかを判断しなければならないパッチ適用プロセスへの負荷が一段と高まっています。判断材料として脆弱性の深刻度スコアは有用ですが、それだけでなく、外部からの露出状況や到達可能性も重要な要素となります。インターネットに公開されたシステム上の欠陥は、攻撃者が容易に到達できない欠陥とは、性質の異なるセキュリティ上の問題となり得るからです。
「CVSSスコアに基づいてチケットを消化しているだけで『安全』だと考えているなら、セキュリティチームは幻を追いかけているに等しいのです。公表される脆弱性の洪水に溺れかけている中で、パッチが存在してからエクスプロイトが実戦投入されるまでのギャップは、ほぼゼロにまで縮まっています」と、Rapid7 Labsの副社長を務めるChristiaan Beek氏は述べています。
「敵対者がキルチェーンを自動化しているというのに、いまだに定期的なパッチ適用サイクルに頼っているとしたら、それはリスクを管理しているのではなく、攻撃者の研究開発費を肩代わりしているにすぎません。CVEを収集することはやめて、実際に重要な露出箇所に焦点を絞るべきです」
攻撃者は、新たに公表された弱点を検証する際に役立つ公開情報やツールへ、ますます容易にアクセスできるようになっています。実際、公開の概念実証(PoC)コードが存在する新規公表脆弱性の件数は、2025年第2四半期と比べて76%増加しており、検証や武器化が比較的容易な脆弱性の母数を押し上げています。
被害者側にほとんど何も要求しない欠陥も
今四半期に追跡された新規悪用脆弱性のうち、62%はネットワーク経由で悪用可能であり、認証もユーザー操作も一切必要としないものでした。こうした弱点があると、攻撃者はログイン認証情報を事前に入手したり、ファイルを開かせたりリンクをクリックさせたりするよう誰かを説得したりすることなく、脆弱なシステムへの侵入経路を確保できてしまいます。この割合は、1年前の同時期と比べて増加しています。
このような環境下では、インターネットに公開されたデバイスに特に注意を払う必要があります。VPNシステム、リモートアクセスゲートウェイ、Webサーバー、ルーター、その他の外部公開インフラは、脆弱なソフトウェアがインターネットから到達可能な状態にある場合、侵入口となり得ます。
組織は、外部からアクセス可能なシステムの正確なインベントリを維持し、到達可能な脆弱性を特定した上で、公開されているエンドポイントに対して認証を徹底することで、こうした露出を軽減できます。
攻撃者は人間そのものを狙っている
偽のCAPTCHAおよびClickFixと呼ばれる手法は、今四半期に観測されたインシデント対応事例全体の31.8%を占めました。これらの攻撃では、ブラウザの不具合を解消する手順や、確認手続きを完了させる手順に見せかけた指示がユーザーに提示されるのが一般的です。その指示に従ってしまうと、デバイス上で悪意のあるコマンドが実行される結果につながります。
ソーシャルエンジニアリングによる活動は、Microsoft Teamsにも及ぶようになりました。これにより攻撃者は、見慣れた職場向けサービスを介しているかのように見せかけたコミュニケーションを通じて、従業員に接触する新たな手段を手に入れたことになります。
いったんアクセス権を確立した後も、攻撃者は権限昇格とネットワーク内へのさらなる侵入を継続的に狙います。認証情報の窃取、リモート管理ツールの悪用、外部公開ソフトウェアの脆弱性悪用は、依然として一般的な手口です。
ランサムウェアは依然として主要な脅威
今四半期、米国では881件のランサムウェア被害者がリストに掲載され、これは他のどの国よりも多く、ドイツで記録された99件のおよそ9倍にのぼります。インドでは35件、タイでは15件の被害者がリストに掲載されました。標的となった業種の上位は、ビジネスサービス業と医療分野でした。
イラン、北朝鮮、ロシアと関連のある国家支援型グループは、金融、政府機関、エネルギー、製造業、テクノロジー、医療、通信、デジタルインフラ、教育、防衛の各分野を標的に、持続的なキャンペーンを展開しました。
ロシア関連のAPT28による活動には、認証トークンやパスワードの流出につながりかねないDNSハイジャックを目的とした、中小企業・在宅勤務者向けルーターの悪用が含まれていました。イランによる活動には、米国内の産業制御システムおよび運用技術(OT)システムを標的とする動きが含まれていました。
アンダーグラウンドで流通するエクスプロイト
アンダーグラウンド市場は、脆弱性情報やアクセス権を得るためのもう一つの経路となっています。今四半期の監視では、20のアンダーグラウンド情報源にわたってエクスプロイトやアクセス権の出品が確認されました。
取引が観測された脆弱性のほとんどは、すでに公開の概念実証(PoC)コードが存在するものであり、一部は米国サイバーセキュリティ・インフラセキュリティ庁(CISA)の「悪用が確認された脆弱性」(Known Exploited Vulnerabilities)カタログにも掲載されていました。また、その大半は認証もユーザー操作も必要とせず、ネットワーク経由で悪用可能な脆弱性に分類されるものでした。
インターネットに公開されたエッジアプライアンスは、依然として特に懸念すべき領域です。推奨される対策としては、SSL-VPNシステム、RDPゲートウェイ、Webサーバーのインベントリ化とパッチ適用、認証情報のローテーション、そしてリモートアクセス経路における多要素認証(MFA)の徹底が挙げられます。各チームは、公表件数が急増した時期に現れた脆弱性を、自組織の資産インベントリと照合することもできます。
公表される脆弱性の件数と、セキュリティチームが実際にトリアージできる件数との間のギャップは、拡大の一途をたどっています。優先順位付けを行うには、どのシステムがインターネットに露出しているか、どの脆弱性が到達可能か、そしてどのアクセス経路がネットワークへの侵入口となり得るかを把握しておく必要があります。
こうした文脈を踏まえることで、新たに公表された脆弱性のすべてを一律に同等の優先度として扱うのではなく、パッチ適用をはじめとするセキュリティ対策のどこに真っ先に取り組むべきかを、組織は見極められるようになります。
翻訳元: https://www.helpnetsecurity.com/2026/08/20/rapid7-vulnerability-patch-cycles-report/
