CISAが「脆弱性レビュー FY2024-2025」を公開 — 侵害の大半は既知の基本的な不備、Secure by Designへの転換を提言

**米サイバーセキュリティ・インフラストラクチャ安全保障局（CISA）**は2026年8月26日、**2024年度と2025年度の脆弱性データを分析した「CISA Vulnerability Review — Fiscal Years 2024 and 2025」を公開した。「侵害の大半は高度な手口や最先端のツールに依存していない。攻撃者はインターネット上で露出した既知のソフトウェア脆弱性をスキャンして悪用する」**という冒頭の指摘から始まる報告書は、AIによる脆弱性発見が広がる前の現状をベースラインとして記録し、Secure by Design（設計段階からの安全確保）への転換を呼びかけた。

基本的な不備が侵害の大半を占める

CISAによると、多くの侵害は基本的なセキュリティ不備が原因で起きている。報告書はCISAとオープンソースのデータを2024年度と2025年度にわたって分析し、現在の脆弱性ランドスケープのベースラインを確立した。目的は、AIが脆弱性発見を加速させる前の状況を記録しておくことだ。

報告書は**「脅威アクターへの反応から、予防可能なソフトウェア欠陥を事前に修正する取り組みへ」**と軸足を移す重要性を強調し、Secure by Design原則の実践を求めている。脆弱性を個別に修正するのではなく、脆弱性を生む共通の弱点（weakness）を体系的に減らすことで、脆弱性クラス全体を削減できるとCISAは説明している。

共通する弱点とソフトウェア事業者への提言

レビューは悪用可能な脆弱性につながる共通のソフトウェア弱点を特定し、ソフトウェア製造者が同じ弱点の再発を防ぐために使えるプラクティスを詳述している。CISAは脆弱性データのパターンを分析することで、発見後の個別対応ではなく、構造的な改善に注力できるとしている。

具体的な弱点の分類や件数は報告書PDF（3.26MB）に詳述されている。CISAは対象読者として経営層、連邦政府、産業界、中小企業、州・地方・部族・準州政府を挙げ、重要インフラのセキュリティとレジリエンス、サイバー脅威への対応、ベストプラクティス、ICTサプライチェーン、ランサムウェア対策、リスク管理の観点から活用を促した。

脆弱性の優先度付け — BOD 26-04の4基準

CISAは**脆弱性への対応を優先度付けする枠組みとして「Binding Operational Directive 26-04: Prioritizing Security Based on Risk」**を示した。報告書によると、4つの基準で評価する。

• 露出状態（exposure status） — インターネットから到達可能か。
• KEVカタログ登録（Known Exploited Vulnerability Catalog status） — CISAの既知悪用脆弱性カタログに登録され、実際に悪用が確認されているか。
• 自動悪用の可能性（potential for automated exploitation） — 自動化されたスキャンやエクスプロイトで悪用されやすいか。
• 技術的影響（technical impact） — 悪用された場合の影響の大きさ。

CISAはこの4基準でリスクに基づいて優先度を判断すれば、限られたリソースでも効果的に脆弱性へ対応できるとしている。

日本の組織への示唆

レビューが示した**「既知の脆弱性が露出したままになっていることが侵害の主因」という指摘は、日本国内の組織にも直接当てはまる。CISAは露出した既知の脆弱性を狙う攻撃が大半だと繰り返し指摘しており、パッチ適用の遅れや資産の把握漏れがリスクを高める。また、AIによる脆弱性発見が広がる前にベースラインを記録したという位置づけは、今後、脆弱性の発見数が増加する可能性を示唆する。各組織はCISAが示した4基準を参考に、自組織の脆弱性の露出状況とKEV登録の有無を確認し、優先度付けを見直すことが望ましい。CISAはレビューPDFを公式サイトで公開**しており、詳細は一次情報で確認できる。

出典

• CISA Vulnerability Review — Fiscal Years 2024 and 2025 — CISA（2026年8月26日公開、PDF 3.26MB）