ソフトウェアの脆弱性は、発見からわずか数時間でエクスプロイト化されるようになっている一方で、アプリケーションセキュリティチームは何年も前から積み上がったパッチ適用の未処理案件を抱えています。
実行可能なアプリケーション攻撃の主な種類（出典: Contrast Security）
Contrast Securityの「AppSec Overflow 2026」レポートは、数十万件に及ぶ本番稼働中のアプリケーションおよびAPI内部から収集されたテレメトリデータをもとにまとめられています。
数分おきに発生する攻撃
攻撃者は平均して4分に1回、アプリケーションに接触しています。このトラフィックの大半は自動化された偵察活動であり、脆弱性をマッピングしてサービスを洗い出すスキャナーによるものです。
これより少ない割合ではあるものの、エクスプロイトのペイロードやアプリケーションの挙動を操作しようとする試みも見られます。Contrastは、1アプリケーションあたり月間42件の、確認済みかつ実行可能なエクスプロイト試行を記録しました。これは単に脆弱性が探られただけでなく、実際にトリガーされたことを意味します。
これらの確認済みエクスプロイトの中では、信頼できないデシリアライゼーションが最も多く、それにパストラバーサルとメソッド改ざんが続きました。SQLインジェクションは、金融からヘルスケア、製造業に至るまで、Contrastが追跡したすべての業種において攻撃手法トップ5に入っていました。
従業員数が数十人規模の企業では、平均して20数個のアプリケーションおよびAPIを運用しています。この数は従業員数の増加とともに上昇し、従業員数5,000人を超える組織では平均して数百のアプリケーションおよびAPIを運用しています。
1年を超えて滞留するパッチ適用の未処理案件
Contrastが監視しているアプリケーションでは、自社開発コードにおいて平均106件の脆弱性検出結果を抱えており、そのうち22件は深刻度が「高」または「重大」に分類されています。
開発チームとセキュリティチームが毎月修正できているのはそのうちわずかな数にとどまっており、最も深刻度の高いアプリケーション脆弱性の修正には平均92日を要しています。Contrastが記録した修正率は、1アプリケーションあたり月間平均3.4件の脆弱性にとどまっています。
いずれも発見から数年が経過しているSpring4ShellやLog4Shellは、今なお本番環境のテレメトリデータに広く出現しています。
Contrast SecurityのCTOを務めるJeff Williams氏は次のように述べています。「20年もの間、AppSecという分野は一つの競争を軸に成り立ってきました。脆弱性を発見し、それが重要かどうかを判断し、悪意ある者に先んじて修正する、というものです。AIはその競争を終わらせ、防御側はその競争に敗れました。現在では、修正までに数週間から数か月を要する重大な脆弱性を尻目に、脆弱性が数時間のうちに武器化される事態が起きています」
後退するバグバウンティプログラム
8万3,000件を超えるCVEからエクスプロイトのシグナルを集約している「Zero Day Clock」によれば、2018年時点でのエクスプロイトまでの平均所要期間は2年を超えていました。この数値は2021年までに1年未満へと低下し、2025年にエクスプロイトされた脆弱性の大半は、発見から3週間以内に武器化されていました。
HackerOneは2026年3月、オープンソース分野で最も歴史の長いクラウドソース型脆弱性プログラムである「Internet Bug Bounty」プログラムへの新規応募受付を一時停止しました。Node.jsもその直後、この資金提供の喪失を理由に、自社のバウンティプログラムを一時停止しています。
AIが双方の立場から状況を変えつつある
Contrastが同一のコードベースに対して3つのAIスキャナーを走らせたところ、検出結果が一致したのはわずか5%にとどまりました。同一のコードに対して単一のスキャナーを3回実行した場合でも、自身の検出結果が再現されたのは17%にすぎませんでした。200万行規模のコードベースをAIツールでスキャンする際のAPI利用コストは約315ドルでしたが、その結果として得られた検出結果のトリアージには約12万8,000ドルのコストがかかりました。
Contrast SecurityのCISOを務めるDavid Lindner氏は、「AIがこの問題をトリアージによって解決することはありません。そして私たちにはそれを裏付けるデータがあります」と指摘します。
Lindner氏はさらにこう付け加えています。「これらのツールは互いに意見が食い違うだけでなく、実行するたびに自分自身の結果とも食い違います。しかも、実際に攻撃を受けている最中に自分のアプリケーションがどう振る舞うかを教えてくれるツールは一つもありません。AIが数ある判断材料の一つにとどまっているうちは、それでも構いません。しかし、それが正式な記録システムとなってしまうと問題です。なぜなら、それこそが月曜の朝にチームが何に取り組むかを決めてしまうからです」
深刻度スコアとエクスプロイトデータが示す方向のずれ
CVSS深刻度スコアとEPSSエクスプロイト確率スコアは、それぞれ単独でも一定のシグナルを持っています。今回のデータセットのうち、CISAの「既知の悪用済み脆弱性」リストに掲載されているCVEに限ると、82%が90%以上のEPSSスコアを記録していました。
データセットに含まれる2件のCVE、CVE-2006-1547とCVE-2023-38180は、いずれもCVSSスコアが7.5でありながらEPSSスコアは25%未満にとどまっていましたが、両方とも実際の悪用が確認されています。
アプリケーションの60%超は、月間の攻撃件数が3,000件未満にとどまっています。一方で4分の1を超えるアプリケーションが、月間3万件を超える攻撃にさらされています。
