ネットワーク機器のパッチ適用は1年以上放置、エクスプロイトは高速化

Microsoftが自社のテレメトリーを分析したところ、企業のネットワーク機器では、脆弱性の中央値が1年以上も未修正のままでした。その一方で、最も被害の大きいソフトウェアの脆弱性は、公開から数日以内に武器化されています。

Microsoft Security Researchは月曜日、1999年から2026年9月までに公開された約38万3,000件のCVEを分析した結果を報告しました。脆弱性にパッチを適用するまでの期間の中央値は、ネットワーク機器では1年を超えています。Windowsサーバーでは1カ月以上、LinuxサーバーとmacOS上で動作するアプリケーションでは10週間超、Windowsワークステーションでは約2週間です。

「このギャップこそが攻撃者にとっての侵入の好機であり、最も長く露出し続ける重要システムで最も広がっています」。Microsoft Securityの研究者Yair Tsarfaty氏とOr Begam氏は、調査結果を詳述したブログ記事にこう記しています。これは、脆弱性が悪用されるまでの速さと、重要システムへのパッチ適用の遅さとの間に開いた隔たりを指しています。

パッチ適用に数週間から数カ月

Microsoftは、同社のSecurity Exposure Managementの2026年のデータからパッチ適用に関する数値を算出しました。記事によると、脆弱性の修正にかかる期間の中央値は、Windowsワークステーションで約2週間、Windows Serverでは1カ月以上です。LinuxサーバーとmacOS上のアプリケーションでは10週間を超え、ネットワーク機器では1年を超えています。

サイバーセキュリティ研究者でレッドチーマーのVibhum Dubey氏は、この結果は企業環境で目にする実態を反映していると話します。企業環境では、変更承認、アプリケーションの依存関係、メンテナンスウィンドウ、レガシーインフラが原因で、修正作業が日常的に滞っているといいます。

「ネットワーク機器は特に厄介です。ファームウェアのアップグレードが重要な業務運用に影響しかねないためです」とDubey氏は述べています。「多くの場合、課題は脆弱性の特定ではなく、業務サービスを止めずに、適切なチームに修正を実施させることにあります」

悪用までは数日

Microsoftは記事で、悪用の時間軸ははるかに短いと指摘しています。研究者らはCISAの数値を引用し、CVEの公開からCISAのKnown Exploited Vulnerabilities（KEV）カタログに掲載されるまでの平均期間が、2024年の89日から2025年には57日に短縮したと述べています。2026年は9月までの平均が20日、中央値は3日にまで縮まりました。

「悪用はこれとは正反対の時間軸で進みます。最も影響の大きい脆弱性は数日で武器化され、公開と同時、あるいは公開前に悪用されるケースも増えています」と記事は述べています。

研究者らはVulnCheckの「State of Exploitation 2026」レポートも引用しています。それによると、2025年のエクスプロイトの29%は、CVE公開から1日以内に実行されました。Microsoftはブログ記事で、業界の調査ではAIの進歩がエクスプロイトの開発に必要な時間を短縮する大きな要因になっていると指摘しています。

Dubey氏によると、防御側に残された猶予が数週間ではなく数時間というケースもあります。脆弱性が、公開前や、組織が最初の評価を終える前に悪用される場合があるためです。

同氏は、企業は月次スキャンや定期的なパッチサイクルだけに頼る体制から脱却すべきだと述べています。代わりに、継続的な監視、緊急パッチ適用の手順、WAFやIPSによる仮想パッチ、明確な修正責任者の設置が必要だといいます。

「優先すべきは露出期間を短縮することです。脆弱性が通常のパッチ適用の順番待ちに入る頃には、攻撃者がすでに悪用しているかもしれないからです」とDubey氏は話しています。

エクスプロイトの標的

分析によると、攻撃者が実際に使う脆弱性は、CVE全体の構成とは大きく異なります。サーバーサイドのリモートコード実行（RCE）は、公開済みCVE全体の20%ですが、実際に悪用されたものでは37%を占めます。ローカル権限昇格は11%から18%に、クライアントサイドのRCEは4%から13%に上昇しています。

研究者らによると、クロスサイトスクリプティングは公開済みCVEの15%から悪用されたCVEでは4%に、サービス拒否（DoS）の脆弱性は16%から7%に低下します。オペレーティングシステムの脆弱性は、全体の23%ですが、悪用されたCVEでは41%を占めます。

「こうした傾向は、攻撃者が、意味のあるアクセス権や制御権を得られる脆弱性を好むことと一致します」と研究者らは記しています。

記事によると、RCE、認証バイパス、ローカル権限昇格を合わせると、実際に悪用された脆弱性の78%を占めます。Microsoftのデータでは、悪用されたCVEのうち最も影響を受けたプラットフォームはWindowsです。

露出度に基づく優先順位付け

Microsoftによると、脆弱性が攻撃者にとってどれだけ価値を持つかは、影響度と露出度で決まります。影響度とは、悪用に成功した場合に得られるものを指します。露出度とは、侵害された資産から到達できるID、権限、ネットワーク接続のことです。

サーバーでは、必要以上の権限を持つサービスアカウント、アプリケーションID、クラウド管理IDが動作していることが多いと、記事は指摘しています。そのいずれかを乗っ取られると、機密データ、管理者権限、信頼されたネットワークへの経路が開く恐れがあります。

「CVSSスコアだけではもはや不十分です」とDubey氏は述べています。組織は、積極的な悪用の有無、インターネットへの露出、資産の重要度、想定される攻撃経路に基づいて、脆弱性の優先順位を決めるべきだといいます。「既知のエクスプロイトがあり、インターネットに面したシステム上の中程度の深刻度の脆弱性は、隔離された資産上の重大な脆弱性よりも大きなリスクになりえます」と同氏は話しています。