わずか3日で悪用される時代、迅速な修正対応の基準が変わる

攻撃者は、もはやあなたの変更ウィンドウを待っていません。最新のRapid7四半期脅威レポートによると、高深刻度の脆弱性（CVSS 7～10）は公開後平均3日で悪用されており、追跡された悪用の71%が最初の1週間以内に発生しています。もし修正プログラムが30日サイクルで運用されている場合、その脆弱性の悪用ウィンドウは、チケットがキューの最上位に到達する前にすでに閉じているかもしれません。

これはセキュリティ上の問題であると同時に、CISOやコンプライアンス責任者にとっては法的リスクの問題でもあります。規制や契約では、組織が「適時」に脆弱性を修正することが常に求められてきました。長年、「適時」とは監査人が受け入れる範囲を意味していました。しかし今や、攻撃者の行動がその定義を書き換えており、そのギャップこそが法的リスクや評価失敗、侵害コストの温床となっています。

本記事では、Rapid7の調査結果を丁寧に読み解きます。データが示すこと・示せないことを分け、修正を規定する規格と結びつけ、最も機密性の高いデータを扱うシステムにとって何を意味するかを考察します。目的は「もっと早くパッチを当てろ」と言うことではありません。あなたのプログラムが、リスクへの対応判断が正当であったことを証拠とともに証明できるよう支援することが狙いです。

主なポイント

1. 攻撃者のスピードが「適時」の意味を決めている

高深刻度の脆弱性が公開後平均3日で悪用されている現状では、週単位の修正ウィンドウは正当化が困難です。

2. 最も危険な脆弱性はユーザーの操作を必要としない

新たに悪用された高・重大脆弱性43件のうち、34件は認証もユーザー操作も不要でした。つまり、教育や認証情報の管理だけでは遅い修正を補えません。

3. エクスポージャー（曝露）は形容詞でなく「日数」で示すべき

取締役会や監査人は、リスク許容度を「曝露日数」で把握します。その数字は、ログで証明できて初めて信頼されます。

4. ランサムウェアの標的が政府とそのサプライヤーへシフト

上位10カ国の政府部門インシデントは48件から55件に増加。公共機関とデータをやり取りする請負業者にとってリスクが高まっています。

5. 外部からアクセス可能なデータ交換システムが最優先

ファイル転送、セキュアメール、マネージドファイル転送プラットフォームは設計上インターネットに公開されているため、曝露ベースのパッチ適用キューの最前列に位置付けるべきです。

Rapid7が測定したこと・していないこと

統計をもとにポリシーを作る前に、その限界を理解しておくことが重要です。Rapid7は自社のマネージド検知対応、脆弱性インテリジェンス、脅威リサーチのテレメトリから調査結果を導き出しています。これは豊富なデータセットですが、あくまでベンダーのデータであり、全世界の組織を無作為抽出したものではありません。

主要な数値も累積値です。Rapid7は、追跡した悪用の71%が公開後7日以内、80%が14日以内、90%が30日以内に発生したと報告しています。3日という数字は、四半期中に実際に悪用された高深刻度脆弱性という限られた母集団の平均値です。すべての高深刻度脆弱性が72時間以内に攻撃されるという意味ではありません。ほとんどは一度も悪用されません。

規模も重要です。Rapid7は四半期で新たに悪用された高・重大脆弱性43件を追跡しましたが、前四半期比で7%減、前年比で19%増です。43という数字は小さく、サンプルが小さいと平均値も大きく変動します。1つの大規模な攻撃キャンペーンで平均が1日動くこともあります。

それでもこの調査結果を重視すべき理由は？独立した証拠とも方向性が一致しているからです。CISAの公開FAQによれば、追跡している悪用済み脆弱性のうち42%が公開当日に、50%が2日以内、75%が28日以内に使われています。異なるデータ収集者が同じメッセージを発信しています。悪用は初動が勝負で、最初の1週間で大半の被害が決まるのです。

「適時」が数値で問われる時代へ

「適時に」という表現は多くのセキュリティフレームワークに登場しますが、具体的な日数が示されることはほとんどありません。NIST SP 800-171 Rev 2の要件3.14.1でも「適時にシステムの欠陥を特定・報告・修正する」と記載されていますが、日数の定義はありません。制御されていない分類情報を扱う請負業者はDFARS 252.204-7012に基づきこの要件を実装する必要があり、つまり防衛サプライヤーは解釈に委ねられるキーワードを含む規格に従うことになります。

この「解釈」こそがリスクの温床です。評価者や元請け、規制当局が「適時だったか」を問う際、ベンチマークを探します。そのベンチマークは今後ますますRapid7のような攻撃者タイムラインになるでしょう。実際に悪用された脆弱性を6週間かけて修正した場合、公開記録が「大半は最初の7日で悪用される」と示していれば、6週間が合理的だったとは主張しにくくなります。

ただし、明確な数値基準も存在します。CISAのBinding Operational Directive 22-01は、2021年以降に割り当てられたCVEについて、連邦政府の民間機関に2週間以内の修正を義務付けています。この指令は民間企業には適用されませんが、CISAはすべての組織にカタログの優先対応を推奨しており、政府のサイバー機関が示す2週間というデフォルトは監査人の記憶に残りやすい数値です。

だからこそ、コンプライアンス担当者は修正スピードを「証拠」の問題として扱うべきです。自社のNIST 800-171コンプライアンス体制を見直す際は、環境に影響した各脆弱性について「いつ把握し、いつ判断し、いつ修正したか」を証明できるかが問われます。CMMC 2.0コンプライアンスやCUI保護に取り組むチームはこれを最初に実感するでしょうが、論理はすべての規制業界に当てはまります。記録がなければ迅速な対応も証明できません。遅い対応でも、リスクベースの理由が文書化されていれば少なくとも正当化できます。

業界はすでに遅れをとっている

攻撃者が数日で動くなら、防御側はどれほど早く動けているのでしょうか。Verizon 2026 データ侵害調査レポートは厳しい現実を示しています。脆弱性悪用が初期侵入経路のトップ（全体の31%、前回は20%）となり、CISAカタログの脆弱性が完全に修正された割合は26%（前回38%）、修正までの中央値は43日（前回32日）に増加しています。

これらの数値とRapid7のデータを並べると、問題の輪郭が見えてきます。攻撃者は平均3日で行動しますが、防御側の中央値は約43日。どちらの数字も好意的に解釈しても、既知の悪用脆弱性が数週間もシステム上に放置され、その間に誰かがスキャンしている状況です。

ただし、この比較には注意が必要です。両データセットは異なる手法・対象で測定しています。Verizonは幅広い組織の侵害と修正をカウントし、Rapid7は特定の脆弱性の悪用タイミングを追跡しています。重要なのは、両者のカーブが乖離しており、自然に収束する兆しがないという点です。

ガバナンスチームにとって厄介なのはここです。43日という中央値は、半数の組織がそれより遅いことを意味します。自社が中央値より速いのか遅いのかを把握していなければ、取締役から「同業他社と比べてどうか」と問われても答えられません。自社の修正所要時間を深刻度・曝露別に測定することが、すべての議論の出発点となります。

ゼロクリック問題と「43件中34件」が重要な理由

Rapid7が新たに追跡した43件の悪用脆弱性のうち、34件は認証もユーザー操作も不要でした。これは全体の79%にあたります。Rapid7はこの組み合わせを「攻撃者にとっての聖杯」と表現しており、まさに的確です。フィッシングメールもパスワード窃取も、従業員を騙す必要もありません。攻撃者は到達可能なサービスにリクエストを送るだけで侵入できます。

この発見は、従来の安心感を静かに覆します。多くのセキュリティプログラムは、意識向上トレーニングや多要素認証、ID管理に多大な投資をしていますが、これらは価値ある施策です。しかし、インターネット公開サービスの未認証脆弱性には無力です。この種の脆弱性への防御策は地味で限定的です。資産の存在・到達可能性・脆弱性を把握し、他者に見つかる前に修正または隔離するしかありません。

Rapid7は深刻度ラベルにも注意を促しています。分析によると、認証バイパス脆弱性の悪用率が最も高く（191件中3件、約1.6%）、リモートコード実行脆弱性の悪用率はそれより低い（2,082件中18件、約0.6%）という結果でした。いずれも高い割合ではありません。つまり、大半の脆弱性は攻撃されず、曝露ベースの優先順位付けが「高スコア追いかけ」より有効であることを示しています。

この79%という数字を他の割合と混同しないよう注意してください。79%は「悪用された脆弱性セット」に関するものであり、Rapid7は別途、全CVEsに占めるリモート・未認証・ゼロクリック脆弱性の割合も報告していますが、それは異なる母集団です。両者を混同すると、出典と一致しない見出しとなり、懐疑的な取締役や監査人に指摘される原因となります。

リーダーにとっての実践的な教訓は、限られたリソースをどこに集中すべきかという点です。Rapid7はCVSS 7～10の新規脆弱性が前年比133%増、PoC（概念実証）公開が86%増と報告しています。ボリュームはどのチームも吸収できないほど急増しています。したがって、優先順位付けはスコアではなく「曝露」と「既知の悪用」から始めるべきです。

リパッケージ経済と国家主体の重なり

迅速な悪用に天才的な攻撃者は不要です。必要なのは効率的な攻撃者です。Rapid7は四半期でアンダーグラウンド投稿63件を監視し、そのうち41件がリモートデスクトップやネットワークアクセスの販売、さらに14件が脆弱性悪用やゼロデイに関するものでした。その多くはすでにベンダーのアドバイザリやCISAカタログで説明されている既知の脆弱性でした。

もう一度確認してください。商業的なエクスプロイト市場は、ほぼ「リパッケージビジネス」です。脆弱性が公開され、PoCが出回れば、誰かがそれを製品化します。3日という平均値は、犯罪経済のサプライチェーン、すなわちアクセス仲介業者・ツール開発者・ランサムウェア提携者がそれぞれ素早く動く構造を物語っています。

国家主体の活動も同様のパターンです。Rapid7は6つのアクターまたはクラスターに15件の脆弱性を関連付け、APT31だけで8件を占めました。さらに、北朝鮮系オペレーターに起因するLinuxツールキットが、HAProxyのトロイ化ビルドを使って韓国の自動車・メディア組織を標的にした事例も報告しています。他の追跡グループはNATO諸国、ウクライナ、インド政府・軍関係者を狙っています。

なぜ商業コンプライアンスチームがスパイ活動グループを気にする必要があるのでしょうか？同じ脆弱性が一つのアクターだけにとどまることは稀だからです。国家主導の手法は犯罪ツールにも流用され、逆もまた然りです。今日、政府向け侵入で使われた脆弱性が、明日にはランサムウェアの侵入口になるのです。国家主体の報告を「他人事」として無視すると、脅威モデルに死角が生まれます。

ランサムウェアリスティングから見える曝露の着地点

Rapid7は四半期で米国のランサムウェアリークサイト掲載件数1,112件をカウントし、これはドイツの約8倍、全世界の約60%を米国が占めています。グループ別ではThe Gentlemenが342件、Qilinが339件、INC Ransomが99件で続きます。これらはRapid7の全体ランキングであり、米国限定の内訳ではありません。

リークサイトデータには注意が必要です。掲載は犯罪者が公開を選択したものであり、検証されたインシデントではありません。静かに支払いを済ませた組織は表に出ません。それでも、活動が少数の積極的なグループに集中しているという傾向は参考になります。

特に目立つのが政府部門です。上位10カ国の政府部門ランサムウェアインシデントは48件から55件へ15%増加。米国のシェアは33%から45%に上昇しています。Rapid7はQilin、The Gentlemen、KryBit、SafePayを政府標的の主要オペレーターとして挙げています。

公共機関と取引する場合、これらの数字はリスクレジスターに記載すべきです。機関は請負業者と機密データを共有しており、攻撃者はサプライヤーの方が本体より脆弱だと認識しています。強固なサードパーティリスク管理プログラムは、ベンダーが侵害された場合に攻撃者が何に到達できるかを想定し、成熟したインシデント対応計画はそのシナリオを訓練します。Rapid7自身も、グループ名を覚えるより、一般的なランサムウェア手法の検知に注力すべきだと公的部門の防御担当者に助言しています。なぜならグループはリストより速く変化するからです。

AIはスピードを加速するが、現時点で主役ではない

2026年の脅威レポートでAIを無視することはできませんが、Rapid7は冷静に扱っています。追跡報告のうちAIが攻撃の運用要素として使われたのは8%のみ。依然として人間が標的や目的を選んでいます。AIは手法選択やターゲットの絞り込み、失敗時のリカバリーを支援し、一部の攻撃者は複数のAIセッションに目的を分散してガードをすり抜けています。

Rapid7のインテリジェンス担当VP、Christiaan Beek氏は「取締役向け資料ではAIによる脆弱性発見の爆発的増加と実際の悪用を混同しがちだが、現時点でそれは起きていない」と明言しています。また「8%という数字は採用状況のスナップショットであり、上限ではない」とも警告しています。

このフレーミングは社内でも有用です。AIは発見サイドを加速させており、公開脆弱性やPoCコードが増え、アドバイザリから攻撃までの道のりが短縮されています。ただし、誰を攻撃するかは依然として人間が決めています。これは一面では基本が今も有効という朗報ですが、もう一面ではその基本に割ける時間がどんどん短くなっているという現実でもあります。

ガバナンス担当者にとって、極端な対応は避けるのが賢明です。AIを過剰視も軽視もせず、Rapid7の推奨通り、AI APIを呼び出すはずのないホストからの異常な利用を監視し、修正スピードが従来より早くエクスプロイトコードが出回る世界でも耐えられる体制を整えておくことが重要です。

リスク許容度を「曝露日数」で表現する

Rapid7レポートの一文は、すべての取締役会資料に引用すべき価値があります。「曝露日数で表現できないリスク許容度は、予算付きの希望にすぎない。」この一文は、多くの組織が脆弱性リスクをどう管理しているかの弱点を突いています。

リスク許容度は通常どう書かれているでしょうか。「重大な脆弱性は速やかに修正する」といった表現が多いですが、「速やかに」は形容詞であり、監査できません。正当化できるプログラムは「インターネット公開システムの悪用済み脆弱性は7日以内に修正または隔離し、例外はCISO承認・期限付きで文書化する」といったコミットメントに置き換えます。これなら測定でき、説明責任も明確です。

数値設定はガバナンスの意思決定であり、協働が最も効果的です。CISOは技術的な実現可能性を、コンプライアンス責任者は規制や契約の許容範囲を、事業責任者は許容できる停止範囲を把握しています。例えば、公開システムの悪用済み脆弱性はより短いウィンドウ、内部システムは補完策付きで長めのウィンドウなど、階層化が可能です。CISOダッシュボードでこれらの修正所要時間を可視化すれば、ポリシーが生きた指標になります。

より難しいのは「証拠」です。各階層ごとに、脆弱性の公開日・環境での検出日・対応判断者・修正や補完策の実施日を記録する必要があります。監査証跡データをSIEMに連携すれば、再現性と信頼性が向上します。評価者や規制当局から問われた際、クリーンなタイムラインを提示できる組織は、記憶やメールから再構成する組織より有利です。なお、適用される義務は必ず法務部門と確認してください。

まずデータ交換レイヤーのセキュリティ強化を

Rapid7は、防御側に対し「外部からアクセス可能な資産を特定し、既知の悪用・未認証攻撃経路・重要業務機能を持つものを優先せよ」と推奨しています。これを典型的なエンタープライズに当てはめると、外部と機密データをやり取りするシステムが最優先となります。ファイル転送サーバー、セキュアメールゲートウェイ、パートナー向けWebポータルは、業務上インターネット公開が必須であり、攻撃者が狙う情報を保持しています。

有効な対応は、まずインベントリとデータ分類から始まります。どの交換チャネルが規制対象データを運んでいるかを把握し、次にアーキテクチャで対策します。ネットワークセグメンテーションは、攻撃者が公開サービスに侵入した後の移動範囲を制限し、ゼロトラストアーキテクチャは「単一のコントロールは必ず破られる」という前提で設計します。これらの原則は、コンテンツレイヤーでのゼロトラスト・データ保護にも適用され、サーバーへの到達だけでなく、到達後に各ファイルで何ができるかも制御します。

ここで交換チャネルの統合が効果を発揮します。メール、ファイル共有、マネージドファイル転送が別々の製品・ベンダーで運用されていると、それぞれにパッチ適用サイクルと曝露面が増えます。Kiteworksはこれらのチャネルを1つのプラットフォームに統合し、強化された仮想アプライアンスとして提供。組み込みファイアウォールとWebアプリケーションファイアウォール、最小権限管理、攻撃面の縮小を実現しています。プラットフォームの暗号化はFIPS 140-3認証済みで、すべての転送が監査証拠を生成します。セキュアMFT機能でファイルを移動させれば、複数システムを突き合わせることなく、1つの統制されたシステムで曝露を測定・証明できます。

どんなアーキテクチャでもパッチ適用は不可欠です。ただし、強化設計は時間を稼ぎ、被害範囲を限定します。公開から悪用までが日単位で進む現状では重要なポイントです。また、証拠管理も簡素化され、1つの監査証跡なら評価者への提示も容易です。

次の30日間の実践的プレイブック

これらを実行に移すのに新たな予算サイクルは不要です。必要なのは、いくつかの意思決定と着実な実行です。

まずは測定から。直近四半期の修正記録を抽出し、CISAカタログに該当する脆弱性について、公開から修正までの実際の日数を算出します。インターネット公開システムと内部システムで分けて分析しましょう。多くのチームは、実態がポリシーより悪いことを発見しますが、その気づきこそがダッシュボード以上の価値を持ちます。

次に、日数ベースの階層的コミットメントを設定します。公開システムの悪用済み脆弱性は7日以内、内部資産はより長いウィンドウ、例外は承認者と期限を明記したプロセスを設けます。これらのコミットメントはリスク許容度声明に明記し、取締役会が確認できるようにします。

さらに、証拠体制を整備します。すべての修正・隔離・例外承認に、タイムスタンプと責任者付きの記録が残るようにします。ログが十分な期間保持され、評価者がアクセスできる場所に保存されているかも確認しましょう。サプライヤーにも同様の証拠を求め、ベンダーレビューでチェックします。

最後にリハーサルです。新たな悪用済み脆弱性が外部公開ファイル転送サービスで発覚し、取締役会への報告までを模擬訓練します。各ステップの所要時間を計測し、承認が滞る箇所やインベントリの陳腐化、3日ルールが守れないポイントを洗い出します。公共機関と取引がある場合は、政府側のコンプライアンスチームも巻き込みましょう。彼らの要件が最も厳しいケースが多いからです。

機密データ交換チャネル全体の曝露リスク低減について詳しく知りたい方は、カスタムデモを今すぐご予約ください。

“`original code template start“`

追加リソース

• ブログ記事 ゼロトラストアーキテクチャ：信頼せず、常に検証
• 動画 Microsoft GCC High：防衛請負業者がよりスマートな優位性を求める理由
• ブログ記事 DSPMで機密データが検出された後のセキュリティ対策
• ブログ記事 ゼロトラストアプローチで生成AIへの信頼を構築する方法
• 動画 ITリーダーのための機密データ安全保管ガイド