脆弱性対応サービス
脆弱性は、公表されたら「自社が該当するか」を確認し、該当すれば更新する。このサービスは、その作業を日常の運用として継続的に行うためのものです。
背景：脆弱性は、より多く見つかり、より速く悪用されるようになっている
AIを使ったセキュリティ検査（ソースコードの解析や、攻撃手法の自動探索など）が広がり、これまで見過ごされてきた脆弱性が見つかりやすくなっています。公表される脆弱性の数は、今後さらに増えると考えられます。
一方で、攻撃する側もAIを使って活動を拡大しています。IBMの「X-Force Threat Intelligence Index 2026」では、インターネットに公開されたソフトウェアやアプリケーションの悪用が年々増加していること、共有された脆弱性の56%が認証なしで悪用可能であることが示されています。同レポートは、「攻撃者よりも先に脆弱性を知り、対処する必要がある」としています。
2026年10月に公表されたPHPの脆弱性（CVE-2026-109618／109619、深刻度 9.2、ログイン不要で攻撃可能）も、その一例です。詳細は「PHPの重大な脆弱性の確認方法と対策」で解説しています。
公表のたびに慌てて対応するのではなく、決まった手順で確認と更新を繰り返せる状態にしておくことが重要です。
脆弱性への対応で、やるべきこと
- 使っているものを把握する：OS、ミドルウェア、言語、ライブラリ、CMS、機器などの製品名とバージョンを一覧にしておきます。
- 公表された脆弱性が該当するか確認する：一覧と照らし合わせ、影響を受けるかを判断します。
- 優先順位をつける：深刻度のスコアに加え、外部に公開しているか、実際に悪用されているかを考慮します。
- 更新し、動作を確認する：修正済みのバージョンに更新し、サイトやシステムが正しく動くことを確かめます。
- 更新できないものに手を打つ：サポートが終わった製品などは、移行を計画し、それまでの間は一時的な緩和策をとります。
- 記録を残す：いつ、何に、どう対応したかを残し、次の対応や説明に使えるようにします。
対象になりうるもの
脆弱性は、特定の製品に限らず、システムを構成するあらゆる要素で見つかります。
| 分類 | 例 |
|---|---|
| OS・ミドルウェア | Linux、Windows Server、Webサーバー、データベース など |
| 言語・ランタイム | PHP、Java、Node.js、Python など |
| ライブラリ・フレームワーク | 業務システムやWebアプリが利用している部品 |
| CMS・パッケージ製品 | WordPress などのCMS、各種ソフトウェア製品 |
| ネットワーク機器・クラウド | ルーター、VPN装置、クラウドの設定 など |
優先順位の考え方
深刻度は、CVSS（共通脆弱性評価システム）のスコアを目安にします。当社では、次の基準で着手します。
| スコア | 深刻度 | 当社の対応 |
|---|---|---|
| 9.0 〜 10.0 | 緊急 | 公表の当日から、最優先で確認と対応に着手 |
| 7.0 〜 8.9 | 高 | 影響を確認し、優先して対応 |
スコアが同じでも、インターネットに公開しているシステムか、すでに攻撃に使われているかによって、急ぐべき度合いは変わります。これらも合わせて判断します。
サービス内容
- STEP 1影響の調査お客様の環境で使っている製品とバージョンを確認し、公表された脆弱性に該当するかを判断します。
- STEP 2更新と動作確認修正済みのバージョンへ更新し、サイトやシステムが正しく動くことを確認します。
- STEP 3移行更新できない古い環境は、新しいサーバーやクラウドへ移行します。
- STEP 4継続的な監視と報告新たに公表される脆弱性を確認し続け、対応状況を定期的にご報告します。
このような場合にご相談ください
- 公表された脆弱性が、自社の環境に関係するかどうか確認したい
- 更新したいが、更新後にサイトやシステムが動かなくなるのが心配
- サポートが終わった製品を使い続けていて、更新できない
- 社内にセキュリティやサーバーに詳しい担当者がいない
- 他社が運用しているサイトやシステムについても相談したい
深刻度の区分はCVSS（共通脆弱性評価システム）による。出典：IBM「X-Force Threat Intelligence Index 2026」、PHP公式セキュリティ勧告（GHSA-w8hw-w9fx-j79w、GHSA-6wmf-4rv5-p3rp）、2026年10月時点。