ハッカーは、既知のソフトウェアの脆弱性のうちごく一部に狙いを絞っています。サービスを妨害するだけの欠陥よりも、システムの制御を奪える欠陥を好む傾向があります。
提供されたMicrosoftの分析によると、実際の攻撃と結びついた脆弱性は2,056件でした。2026年9月までに対象となった約383,000件のCVEの、およそ0.5%にあたります。
この結果は、脆弱性の総数と、実際に観測された攻撃者の行動との間に大きな隔たりがあることを示しています。リモートコード実行、権限昇格、認証バイパスは、企業環境への侵入経路として価値が高いといえます。とりわけ、影響を受けるシステムが強力なIDを保持していたり、機密性の高いリソースに接続していたりする場合はなおさらです。
ただし、この数値は分析対象のデータセット内で観測された悪用状況を示すものにすぎません。残りの脆弱性がすべて安全である、あるいは今後も標的にならないという意味ではありません。
分析では、脆弱性を、最も影響の大きい直接的な影響と、影響を受けるプラットフォームで分類しました。各CVEは影響評価で1回だけ集計し、複数のプラットフォームに影響する脆弱性は、該当する各プラットフォームに計上しています。
サーバー側のリモートコード実行は、公開された脆弱性の20%を占めるのに対し、悪用された欠陥では37%に達しました。この種の弱点を突くと、攻撃者はユーザーの操作なしに、公開されたサービスに対してコードを実行できます。
ローカルでの権限昇格は、公開されたCVEの11%から、悪用された脆弱性では18%に上昇しました。こうした欠陥は、限定的なアクセス権をSYSTEM権限やroot権限へ引き上げるのに役立ちます。
クライアント側のリモートコード実行も、4%から13%へと大きく増えました。サーバー側の攻撃とは異なり、これらのエクスプロイトでは通常、誰かが悪意あるコンテンツを開くか実行する必要があります。
一方、クロスサイトスクリプティングは、公開された脆弱性の15%から、悪用された欠陥では4%に低下しました。サービス拒否（DoS）の脆弱性も16%から7%に減っています。
オペレーティングシステムの脆弱性にも偏りが見られました。脆弱性全体に占める割合は23%ですが、悪用された脆弱性では41%を占めています。
こうした差から、攻撃者は足場の確立、権限の拡大、さらなる侵害につながる弱点を好むことがうかがえます。分析は、観測された悪用済み脆弱性の78%が、乗っ取り関連の分類に属すると結論づけています。
それでも、実際のエクスプロイトの挙動は重要です。リモートコード実行と分類された脆弱性でも、現実的な条件下ではクラッシュを起こすだけの場合があります。対策の優先順位を決める際は、実証された攻撃能力が欠かせません。
修正の遅れは、重要インフラを危険にさらしたままにします。提供された分析によると、パッチ適用までの期間の中央値は、Windowsのワークステーションで約2週間、Windowsサーバーで1か月超、Linuxサーバーでは10週間超でした。
ネットワーク機器は、中央値で1年以上パッチが未適用のままで、攻撃者に特に長い攻撃機会を与えています。
悪用は、それよりはるかに早く始まることがあります。VulnCheckの調査では、2025年に初めて悪用が観測された脆弱性の28.96%が、CVEの公開日以前、またはその当日に攻撃を受けていました。同社のレポートは、その年に初めて悪用の証拠が確認された脆弱性を884件特定しています。
そのため防御側は、技術的な影響と、環境上の露出の両方を評価する必要があります。特権サービスアカウントやクラウドへの信頼された接続を持つ脆弱なサーバーは、より広範な侵害への経路になり得ると、Microsoftは述べています。
Microsoft Defender External Attack Surface Managementは、この作業を支援します。未知または監視外の資産やサードパーティーへの依存関係を含め、インターネットに公開されたインフラを検出する機能です。
16,000以上のSOCチームがANY.RUNを導入し、脅威調査を効率化して手作業を削減しています。自社チームで試す
翻訳元: https://cyberpress.org/hackers-prioritize-system-takeover-flaws/
