要点
- 2026年に公開されたソフトの欠陥（CVE）が、11月13日に10万件を超えた。これは VulnCheck の集計である。
- 全部を直すのは無理なので、リスクの高いものから先に直す考え方がある。米国の CISA も、連邦機関向けにその方式の指示（BOD 26-04）を出した。
- 悪用が確認された欠陥は全体の約1.4%にすぎない。どれを先に直すかを決めておかないと、本当に危ないものを見逃す。
何が起きたか
セキュリティ企業 VulnCheck の集計で、2026年に付いた CVE（欠陥に付く共通の管理番号）が11月13日に10万件を超えた。The Register が報じた。件数は VulnCheck が数えたものだ。The Register は、2025年の通年の2倍以上だとも伝えている。
増えた理由について、The Register は VulnCheck の担当者の見方を紹介している。AI を使った欠陥探しが大きいという見方だ。ただし、これは一人の見立てである。原因が AI だけかどうかは、一次情報では確かめられていない。
件数が増えても、実際に攻撃される欠陥が同じ割合で増えているわけではない。VulnCheck の2026年上半期の報告では、悪用が確認された欠陥は495件だった。直前の半年より10%の増加で、CVE の件数は45%増えている。悪用済みの割合は1.4%まで下がった。
一方で、悪用までの時間は縮んでいる。公開から悪用の確認までの中央値は、2025年の120日から、2026年上半期は80日になった。
悪用済みの欠陥は、ウェブサイトを作る CMS（コンテンツ管理ソフト）に多く、全体の約3分の1を占める。VulnCheck は、ネットの入り口に置く機器も狙われ続けていると指摘している。
米国の CISA（米国のサイバー防衛機関）は6月、連邦政府の機関向けに BOD 26-04 を出した。一律の期限で直す方式をやめ、リスクで順番を決める方式にした。見る点は4つある。ネットに公開されているか、悪用済みリスト（KEV）に載っているか、攻撃を自動化できるか、乗っ取りにつながるかだ。
日本の利用者への影響
CVE は世界共通の番号で、日本の企業が使うソフトや機器も同じ数え方に入る。件数の増加は日本の情シスにも同じ負担になる。BOD 26-04 は米国の連邦機関向けで、日本の組織に義務はない。順番の付け方の参考として使える。
今すぐやること
- 自分の組織が使うソフトと機器の一覧を作る。ネットから見えるもの（Web サイト、VPN、ルーター等）に印を付ける。
- CISA の KEV カタログ（悪用が確認された欠陥の一覧）を定期的に見る。自分の一覧と合う製品があれば、最優先で直す。
- CMS とそのプラグインの更新を、決まった作業にする。VulnCheck は、これを「常に優先すべきもの」としている。
- サポートが終わった機器は、入れ替えるか、ネットから切り離す。直せない欠陥が残り続けるからだ。
- 公開された機器にKEVの欠陥が見つかったら、直すだけで終わらせない。侵入された跡がないかも確かめる。BOD 26-04 も、一部の欠陥では対応に加えて調査を求めている。
背景
CVE の件数は増えている。VulnCheck によれば、悪用済みの割合は2023年後半の2.7%をピークに、今は1.4%まで下がっている。増えた分の多くは、実際の攻撃には使われていない欠陥ということになる。
AI で見つけた欠陥も増えている。VulnCheck によると、AI の支援で見つかった1,061件のうち、悪用が確認されたのは14件（1.3%）だった。報告への対応を変える動きもある。The Register は、curl が報奨金制度を閉じ、低・中程度の報告を公開の場で扱うようにしたと伝えている。
つまり、困りごとは数の多さそのものより、どれを選ぶかにある。全部を同じ重さで扱うと、人手が足りなくなる。
技術者向けの詳細
- 件数: 100,222件（VulnCheck 集計、2026-11-13 16時ごろ UTC）。出典は The Register の報道。
- VulnCheck 2026年上半期: KEV 495件、KEV 対 CVE 比 1.4%、公開当日かそれ以前に悪用された割合 23.43%（2025年は 28.93%）。
- CISA BOD 26-04（2026-06-10）は BOD 19-02 と BOD 22-01 に代わる。フェーズ I は即時、II は60日以内、III は180日以内。
- 判断の4変数: 公開の有無、KEV 掲載、悪用の自動化、技術的影響。KEV に載ると期限は短くなる。
- 日数の表（Table 1）は画像のため、ここでは転記しない。原文を見ること。
- CISA の Vulnrichment が、KEV 掲載・自動化可否・技術的影響のメタデータを出している。
