CISAが2024〜2025年度の脆弱性レビューを公表 — 侵害の起点はゼロデイではなく“古くて既知の欠陥”が4割

米サイバーセキュリティ・インフラセキュリティ庁（CISA）は2026年8月、2024年度と2025年度の脆弱性情勢を総括した**「CISA Vulnerability Review FY2024-2025」**を公表した。CISAは報告書の冒頭で「多くの侵害は高度な手口に依存していない。標的となったのは、公開資産に残る単純で既知のソフトウェア脆弱性だった」と指摘し、AIによる脆弱性発見が広がる前のベースラインとして現状を整理した。

報告書は、CISA自身のCyber Hygiene脆弱性スキャン参加組織のデータと公開CVE情報を基に、脆弱性の傾向、根本原因、組織が取るべき優先順位付けを31ページにわたり分析している。

侵害の主因はゼロデイではない

CISAは「2024〜2025年度のサイバー脅威活動の多くは、国家支援型グループがゼロデイを駆使して調整した活動ではなかった。むしろ、インターネットをスキャンして露出する脆弱性を探す日和見的な犯罪者が大半だった」と総括した。報告書は「安全でないソフトウェアの製造と利用が依然として常態だ」と述べ、基本的な防御の失敗が最も大きなリスクであると位置づける。

背景として、Cyentia InstituteのIRISランサムウェアレポートが示す「ランサムウェア1件あたり平均370万ドルの損失、年間で組織が被害に遭う確率は約10%」という試算を引用し、既知の欠陥の放置が直接的な事業リスクにつながると強調した。

KEVの4割が“CWE Top 25の頑固な弱点”

CISAが運用するKEVカタログ（Known Exploited Vulnerabilities、実地で悪用が確認された脆弱性の一覧）に登録された脆弱性を分析すると、特定の弱点タイプに集中していることが分かった。

• 2024年度のKEVの内訳では、メモリ安全性の問題が19.8%、インジェクションが10.1%、不適切な入力検証が8.1%を占めた。
• KEV全体の41.5%が「頑固な弱点（stubborn weaknesses）」、すなわちMITREが2007年からCWE Top 25で繰り返し指摘してきた「許されないはずの」設計上の弱点に該当した。
• 全CVEの傾向では、インジェクション関連が2024年度に10.1%、2025年度に9.2%を占め、クロスサイトスクリプティング（CWE-79）が両年度で最多だった。CISAは攻撃者が「複数の製品・環境で使い回せる、単純で信頼性の高い手法」を好むと説明している。

報告書は、KEVが「一貫して悪用可能で拡張性の高い攻撃経路を提供する、影響の大きい脆弱性タイプの小さなグループにきつく集積する」と表現し、対策の焦点を絞るべきだと提言している。

露出した資産と老朽化した環境が侵入経路に

CISAがスキャンした重要インフラ組織では、公開資産の管理不備が顕著だった。

• 脆弱なネットワークサービスの露出：スキャン対象の26%が脆弱なネットワークサービスをインターネットに公開し、約18%がいまもFTPサーバーを稼働させていた。
• サポート切れソフトの利用：51%の組織がサポート終了ソフトを稼働させており、これがKEVの半数以上と紐づいていた。
• 非推奨プロトコルの放置：91%の組織が非推奨のSSL/TLSに依存し、中央値で459日間、保護されないまま放置されていた。CISAはこうした老朽環境を「侵入の容易な入口」と表現した。

事例：Salt Typhoonが既知のCVEを2021年から悪用

報告書は、中国系とされるSalt Typhoonが2021年から既知のパッチ未適用CVEを悪用し、通信、交通、軍事インフラを含む世界中の組織へ侵入した事例を詳述した。高度なゼロデイではなく、既知の欠陥の放置が大規模侵害を許した典型例として「KEVをパッチしないなら、保護されていないも同然だ」とCISAは警告している。

CVSSから“実害基準”の優先順位付けへ

CISAは、従来のCVSSスコアについて「理論的な深刻度を示すもので、現実の被害の大きさを反映しない」として、優先順位付けの考え方を転換したと説明した。新たな基準は次の4要素である。

1. 資産の露出状況 — インターネットに公開されているか
2. KEV該当性 — 実地で悪用が確認されているか
3. 悪用の自動化容易性 — 攻撃を自動化できるか
4. 技術的影響 — 奪取される権限や波及範囲

この考え方は、運用指令BOD 26-04や**SSVC（Stakeholder-Specific Vulnerability Categorization）**フレームワークと整合し、組織が「いま露出しており、現実に悪用されている脆弱性」から修正するよう促すものである。

CISAが求める転換 — Secure by Designと基本の徹底

報告書の結論は「脅威アクターへの反応から、彼らが悪用する根本的な欠陥の修正へ軸足を移すべきだ」という点に集約される。CISAはソフトウェア製造者と利用組織の双方に次の行動を求めている。

• ソフトウェア製造者はSecure by Designを徹底する。RustやSwiftなどメモリ安全な言語を採用し、メモリ安全性のロードマップを公表し、SBOM（ソフトウェア部品表）を提供する。
• 利用組織は基本を徹底する。KEVの迅速な修正、サポート切れソフトの廃止、すべての入力の検証、Cyber Hygiene脆弱性スキャンなどの無償サービスの活用を進める。CISAによると、同スキャンを利用した組織では1年以内に外部に露出した脆弱性が平均40%減少した。
• 経営層はサイバーリスクを事業リスクとして捉える。国家安全保障や業務継続の観点から、リスクベースの脆弱性管理を経営判断に組み込む。

AIが脆弱性発見から悪用までの全工程を自動化しつつあるなか、CISAは「AIが広がる前に基本を固めることが、最も費用対効果の高い防御だ」と強調した。報告書は「安全なソフトウェアを前提にし、露出したKEVから塞ぐ」という原則が、日本企業を含むあらゆる組織で今すぐ実行できる対策だと結んでいる。

出典

• Cybersecurity and Infrastructure Security Agency, “CISA Vulnerability Review Fiscal Years 2024 and 2025,” Publication: August 2026 — https://www.cisa.gov/sites/default/files/2026-08/cisa-vulnerability-review-fy-2024-2025.pdf