Rapid7によると、2025年にAIと自動化が脅威アクターの攻撃を急速に加速させ、脆弱性開示と悪用の間の「予測可能なウィンドウ」を短縮しました。
セキュリティベンダーの新しい2026年グローバル脅威ランドスケープレポートは、Rapid7のMDRインシデント対応調査およびその他の内部データに基づいています。
「かつて数週間をかけて展開されていたことが、現在は数日で、場合によっては数分で現実化している」と主張しています。
実際に、脆弱性公開からCISAの既知の悪用された脆弱性（KEV）カタログへの登録までの中央値は8.5日から5日に低下し、平均値は61日から28.5日に低下しました。
脆弱性悪用についてさらに詳しく：N-Day脆弱性が支配する中、悪用までの時間が急落
Rapid7は、脅威アクターの「意図または高度さ」に変化はなく、既存の方法の加速があったと主張しています。
「AIは偵察をスケーリングし、意思決定を自動化し、ソーシャルエンジニアリングを産業化するために使用されており、露出から悪用までの時間を圧縮しています」とも述べられています。
「当社の調査結果は、成功した侵入の大多数が依然として既知で防止可能な条件から発生していることを示しています。すなわち、露出したサービス、脆弱なアイデンティティ制御、およびパッチが当たっていないエッジインフラストラクチャです。変わったことは、これらの条件がどれほど迅速に発見され、兵器化されるかということです。」
脆弱性悪用が急増
悪用のスピードと同様に、2025年にはAIと自動化がCVEの特定と攻撃の合理化に役立つことにより、総数も増加しました。
新たに開示されたCVSS 7～10の脆弱性の確認された悪用は前年比で105%増加し、2024年の71件から2025年の146件になりました。
ほとんどは逆シリアル化、認証回避、またはメモリ破損脆弱性のいずれかでした。ランサムウェアでは、これらはファイル転送システム、エッジアプライアンス、およびコラボレーションプラットフォームに現れる傾向がありました。
全体的に、脆弱性悪用は昨年のインシデント対応事件における初期アクセスの25%を占めており、露出したサービスは7%でした。ただし、最も一般的なベクトルは「正当なアカウント／MFAなし」（44%）であり、ID関連の脅威の継続的な課題を浮き彫りにしています。
Rapid7は、CISOが攻撃対象面のサイズを縮小するのに役立つ予防措置に、より大きな焦点を当てて対応する必要があると主張しています。
「先制的セキュリティとは、悪用が発生する前に攻撃者が依存する条件を減らし、完全な環境コンテキストで検出して対応し、アラート量ではなく実質的なリスクに基づいてアクションを優先することを意味します」とレポートは説明しています。
「このアプローチの採用に失敗した組織は、拡大する非対称性に直面しています。攻撃者の速度が増加するにつれて、反応的な意思決定モデルはリスクが現在どのように具体化されるかとますます一致しなくなるのです。」
翻訳元: https://www.infosecurity-magazine.com/news/exploitation-accelerates-in-2025/
