patches
Terraの調査で、GitHubのセキュリティ修正のうち90日以内に不完全と報告されたものが急増していることが判明
ソフトウェアを更新するだけでは、守りは万全になりません。AIペネトレーションテストを手がけるスタートアップのTerra Securityによると、セキュリティ修正そのものが回避されるという恐ろしい事態が増えています。同社は、長年にわたって比較的少なかったパッチ不備の報告件数が、2026年に急増したことを確認しました。
しかも、AIによる脆弱性の発見とパッチ適用も今年爆発的に増えており、これは偶然ではありません。
たとえば、ロシア政府系のサイバースパイ集団は、Windowsシェルのセキュリティ機能バイパスの脆弱性「CVE-2026-21510」を、ゼロデイとして悪用していました。Microsoftが2月にこの欠陥を修正する少なくとも1カ月前のことです。ところが、同社のパッチは不完全でした。ゼロクリックの認証強制の脆弱性（CVE-2026-32202）が残り、この欠陥も4月の修正前に発見・悪用されました。
Terraの研究者らは、公開済みのすべてのCVEレコードとGitHubがレビューしたアドバイザリを調べ、不完全な修正がないかを確認しました。その結果、ある明確なパターンが見つかりました。6年間にわたりパッチのバイパスは比較的少なかったものの、2026年にこの傾向が一変したのです。「修正が出荷されるとバイパスが見つかり、さらに別の修正が出る、という繰り返しになっています」
研究者らによると、パッチ不備を報告する後続のアドバイザリが90日以内に出されたGitHubセキュリティ修正の割合は、2019年から2025年まで約0.2％で推移していました。今年はこの数字が2.3％に跳ね上がっています。
一方、Terraによると、修正が後にバイパスされた脆弱性は、同じベンダーの他のバグと比べて、米国サイバーセキュリティ・インフラストラクチャセキュリティ庁（CISA）の「Known Exploited Vulnerabilities（既知の悪用された脆弱性）」カタログに掲載される確率が約4倍でした。
なかでも修正が破られやすいのは、サーバサイドリクエストフォージェリ（SSRF）とプロトタイプ汚染のパッチです。Terraによると、全CVEに占める割合と比べ、修正が破られたCVEではプロトタイプ汚染の脆弱性が約11倍、SSRFの脆弱性が4.6倍も多く見られました。
これは、この種のバグがホスト名、パス、オブジェクトキーといった入力の拒否リストで修正されることに起因します。Terraによると、理由は「単純」です。
「ブロックリストが不正な入力のあらゆるエンコードを想定していなければ、攻撃者は抜け道を1つ見つけるだけで済みます」と研究者らは説明しています。
Linuxカーネルの脆弱性に対する修正も、新たなバグを生みやすい傾向があります。10月8日時点のカーネルCNAのレコードによるものです。
「実際、カーネルCVEの3.2％は別のCVEの修正によって混入したもので、fs/smbやnet/schedのように活発に開発されているサブシステムでは約10％に上ります」と、バグハンターらは指摘しました。
こうした状況にも救いはあるといいます。ソフトウェアベンダーとネットワーク防御担当者が「パッチを当てて終わりにする習慣」を改める契機になるはずだというのです。ベンダーはパッチを出荷する前に、次の3点を確認すべきだとしています。
-
根本原因を修正しているか。
-
バグのクラス全体をカバーしているか。
-
別の何かを壊していないか。
システム管理者やパッチ管理者も、修正を適用する前に同じ点を検討すべきです。「ベンダーが悪用されたバグを修正した場合は、誰かがそのパッチを読み解き、回避方法を探していると考えるべきです」と、ペンテスターらは助言しています。®
