【脆弱性レポート】2025年度に攻撃が観測された脆弱性の傾向分析について

1. 本報告書について

本報告書では、インターネット上で公開されている脆弱性情報と、弊社サービス「TIL（Threat Intelligence Lab）」の情報を活用し、実際に攻撃が観測された脆弱性を中心に整理・分析を行った結果を共有いたします。 脆弱性の総数が年々増加し、限られたリソースですべてに対処することは現実的ではありません。脆弱性管理において何を優先的に対応すればよいか分からないといったご相談を受けることも度々ございます。単なる理論上のリスクではなく、攻撃者に「悪用されている事実」などの情報をベースに整理することで、被害を受ける可能性の高いIT資産の特徴を理解し、優先順位をつけた脆弱性管理の実施が求められます。

【データ集計期間】 2025/04/01-2026/03/10

2. TIL (Threat Intelligence Lab)とは

TILとはCTCがもつ独自データベースであり、世界各国から収集した脅威および脆弱性情報を蓄積しております。 脆弱性情報においてはインターネット上に公開されている様々な情報から「攻撃観測の有無」,「PoCの有無」、「CWE」、「CVSSの各評価基準」などの脆弱性管理に必要な情報を集約化したものとなります。 2018年3月26日よりCTCが提供を開始した「脅威・脆弱性マネジメントサービス」にも活用しており、専門のセキュリティエンジニアがシステム環境に応じた影響分析および具体的対策をレポートとして提供します。 これにより、お客様は脅威の早期把握、被害の未然防止、及び発生時の迅速な軽減対応が可能となります。既存の事後対応型サービスと組み合わせることで、より堅牢かつ持続的なセキュリティ体制の構築が可能です。

3. 2025年度の脆弱性情報

2025年度の集計期間中にNVDに登録・更新された脆弱性件数は 48,653件 でした。
TILを用いて「攻撃観測の有無」で判別したところ、実際に攻撃が観測された脆弱性は 217件（全体の約0.4%）であることが分かりました。 続いて以下の観点で攻撃が観測された脆弱性を確認し、どのような脆弱性が攻撃者に狙われているのかを確認します。

1. CVEのCVSSスコアの分布

2. CVEの対象製品の分布

3. CWE毎の検出数

1. CVEのCVSSスコアの分布

攻撃が観測されたCVEのCVSSスコアとPoCの有無でカウントした結果が以下となります。 CVSSスコアの分布はCritical（9.0–10.0）が107件、High（7.0–8.9）が89件と、高深刻度の割合が高い結果でした。またPoC（概念実証コード）については「有」が114件、「無」が103件であり、特にCritical帯においてPoC有の件数7割が多い傾向が見られます。 PoCが公開されていることで攻撃のハードルが下がり、かつ攻撃成功時のインパクトが大きいものが狙われていることが読み取れます。

2. CVEの対象製品の分布

攻撃が観測されたCVEの対象製品およびベンダーをカウントした結果が以下となります。 有名なOSやブラウザ、VPNなどのプラットフォーム系の脆弱性が狙われていることが読み取れます。

3. CWE毎の検出数

これらの実際に攻撃が観測された脆弱性をCWE（共通脆弱性タイプ）別に分類した結果が以下となります。 インジェクション系や認証回避系の脆弱性が多くを占めています。認証回避はEDRでの検知が難しく、攻撃者にとって極めて効率的な侵入経路となります。

4. 推奨対策

上記の脆弱性の特徴から推奨する対策として以下のものがあげられます。

脆弱性の優先順位付けプロセスの定義

公開された全ての脆弱性に対応するのは現実的ではありません。判断基準を事前に定義し、優先度の高い脆弱性からパッチ適用を実施するなどの運用が求められます。

ベンダーからの注意喚起に即座に反応できる体制を用意

脆弱性が公開された後、ベンダーによる修正パッチやアップデート情報が公開される場合が多いです。適宜確認し対応できる体制を整えることが重要です。

多要素認証の導入

パスワードのみの認証を排除し、認証バイパスのリスクを低減します。

ゼロトラスト・アーキテクチャ

アクセスごとに検証を行う仕組みを導入し、認証回避後の横展開（ラテラルムーブメント）を阻止します。

EDR/XDRによる検知・封じ込め

今回のCWE分析で「認証回避」が挙げられていますが、一方で「コードインジェクション」などは実行段階でEDRが防げる可能性があります。パッチが間に合わない場合のセーフティネットとしても活用できます。

WAFやIPSによる不正通信の遮断

インジェクション系やパス移動等の攻撃の対策として有効です。

5. まとめ

本報告書で示した通り、攻撃者は依然として、インターネットに露出している境界防御機器や認証の不備、そして公開されたPoCを利用して侵入を試みています。しかし、実際に悪用される脆弱性は全体の0.5%未満に留まります。組織のリソースも限られていることから、脅威インテリジェンスを軸に優先順位をつけた脆弱性管理が求められます。 また、攻撃が観測された脆弱性の多くはベンダー提供製品にて検出されており、ユーザー側でのソース修正は困難なため、OSアップデートやパッチ適用による対応が中心となります。

ただし、これらを実施するには検証や導入の段階でタイムラグが発生します。そのため、改修完了までの期間を埋める手段として、WAFやIPSによる不正通信の遮断や、多要素認証（MFA）による認証強化といった多層防御の活用が不可欠です。

こうした状況を踏まえ、企業には、脅威インテリジェンスをベースに何が狙われているかを把握し、脆弱性管理を実施することに加え、多層防御などの基本対策を取り入れた総合的なリスクマネジメントへの転換が求められています。 なお、弊社提供の「脅威・脆弱性マネジメントサービス」では、TILの情報をもとに専門のセキュリティエンジニアが必要な情報を選定し、攻撃手法や被害規模、脅威の成立条件などを踏まえて、お客様環境に特化した影響可能性を詳細に分析します。分析結果は対策と併せてレポート化するため、お客様は脅威を早期に把握し、被害防止・被害軽減に向けた事前対応型の運用を実現でき、サイバーセキュリティ対策を強化することが可能となります。

参考

• CTC 脅威・脆弱性マネジメントサービス

• NVD (National Vulnerability Database)

• CWE - Common Weakness Enumeration

• Known Exploited Vulnerabilities Catalog | CISA