セキュリティ
組織文化とSecure by Design導入における構造的な欠陥が、この惨状の原因とされています
人気記事
CISAは依然として、ソフトウェアベンダーに対しSecure by Design(SBD)の開発手法を採用するよう強く求めています。最新のレビューでは、長年にわたり存在し続けてきた脆弱性の種類が、今も最も悪用されていると指摘しています。
同機関は2024年から2025年にかけての脆弱性の傾向を調査し、CVEを付与され既知悪用脆弱性(KEV)カタログに掲載される脆弱性の大半が、本来ならすでに解消されているべき数十年前から存在する不具合であることを明らかにしました。
クロスサイトスクリプティング(XSS、CWE-79)、OSコマンドインジェクション(CWE-78)、SQLインジェクション(CWE-89)といったインジェクション関連の脆弱性が、2024年から2025年にかけてCVEおよびKEVの両方の記録で最も多く見られたと、CISAは述べています。
これらに加え、不適切な入力検証(CWE-20)への対策を怠ったベンダーによって作り込まれたバグも多く見られました。この不適切な入力検証は、KEVカタログおよび登録済みCVEの両方において、単独では最も多い脆弱性の種類となっています。
「脅威アクターが成功し続けている一因は、単純で予防可能なソフトウェアの弱点が放置されたままになっていることにあります」と、CISAはレビューの中で述べています。
「根本的な問題を解決すれば、現在発生している侵害の相当な部分を排除できるはずです」
読者の中には、公開から何年も経った今なお頻繁に引用され、参照され続けている2つのMITREのレポートを覚えている方もいるでしょう。同機関が「許されざる脆弱性(unforgivable vulnerabilities)」と呼んだ2007年版の報告書と、「頑固な弱点(stubborn weaknesses)」に言及した2023年版の報告書です。これらで指摘された脆弱性は、現在のデータにも定期的に姿を現し続けています。
CISAによると、2024年にCVEリストで頻出したCWE上位10件のうち7件が、MITREの言う「頑固な弱点」に該当していました。
同様に、KEVカタログで頻出したCWE上位10件のうち7件(カタログ全体の脆弱性の41.5パーセントを占める)も、頑固な弱点でした。さらにKEVの上位5件のうち3件も未修正の欠陥に由来しており、CISAはこの結果について「これらの弱点がいかに確実に実際の悪用に結びついているかを示している」としています。
参考までに、この3件とは不適切な入力検証(CWE-20)、パストラバーサル(CWE-22)、OSコマンドインジェクション(CWE-78)です。
2025年のデータも同様の傾向をたどっており、CISAによれば上位10件のCWEのうち7件が、2007年当時「許されざる」とされていたものだったといいます。
「今日のCWE上位10件のうち3件は、約20年前であれば『許されざる』ものと見なされていたはずです」と同機関は述べています。「これらが今なお存在し続けているという事実は、問題が技術的な複雑さにあるのではないことを示しています。問題は組織文化であり、開発者のワークフローであり、Secure by Design導入における構造的な欠陥なのです」
19年前に発表された論文を覚えていない方のために説明すると、「許されざる脆弱性」とは、よく知られた一般的なミスによって生じ、攻撃経路が「明白」で、悪用が単純であり、攻撃者が数分でバグを発見できるものを指します。
同様の傾向は、CISAが実施するリスク・脆弱性評価(RVA)においても確認されています。これは同機関が実在の組織を対象に無償で行う侵入テストで、対象組織のセキュリティ向上と、米国のサイバー環境全体に対するより深い理解を目的としています。
2024年を通じた評価では、メモリ安全性と不適切な入力検証に関する脆弱性が最も確実な悪用経路であることが示され、2025年のKEV登録件数の16.7パーセントを占めていました。
今日のCWE上位10件のうち3件は、約20年前であれば「許されざる」ものと見なされていたはず
インジェクション脆弱性は登録済みCVEでも頻繁に見られますが、実際の攻撃で悪用される頻度は比較的低く、特にサイバーセキュリティの成熟度が高い組織に対してはその傾向が顕著です。
この根深い問題に対処するため、CISAは改めて、サイバー攻撃を今なお支え続けている頑固な脆弱性の種類を排除するSBDの導入を、各組織に推奨しています。これらの脆弱性は、脅威と見なされてから数十年が経過してもなお残存しているのです。
結局のところ、これはベンダーが防御側の負担をどれだけ軽減できるかという問題に帰着します。記録的な規模に膨れ上がり続けているパッチパッケージをリリースし続けるのではなく、そもそもソフトウェアを最初から責任を持って構築すべきなのです。
CISAの見解では、これは顧客に対する「セキュリティ成果への責任(owning security outcomes)」を意味し、いわゆる頑固な弱点や許されざる弱点を根絶するとともに、設定・監視・更新の自動化を進めることを意味します。
ソフトウェアの購入者は、こうした要件を満たすベンダーのみを選ぶべきであり、サプライチェーンリスクを追跡するためのソフトウェア部品表(SBOM)が整備されていることを確認すべきです。
「組織は、脅威アクターへの対処に追われる姿勢から、脅威アクターが悪用することが分かっている根本的な欠陥を修正する姿勢へと転換しなければなりません」とCISAは述べています。「より強固なサイバーセキュリティは、Secure by Designに基づくソフトウェアから始まります」
「そのためには、脆弱性への優先順位付けと、業界と政府をまたいだ連携が必要です。そして最終的には、サイバーリスクを事業リスクであり、国家安全保障上の脅威であり、業務の回復力を妨げるものであると理解する、経営層の関与が求められます」 ®
