内閣官房国家サイバー統括室などが2026年5月18日に出した注意喚起「AI性能の高度化を踏まえたサイバーセキュリティ対策の強化について」は、高性能なAIが攻撃者に悪用されることで、脆弱性の発見から悪用までの時間が極めて短くなるとともに、多数の脆弱性への対応が必要になると書いています。そのうえで、脆弱性の影響度、悪用リスク、事業継続への影響などを踏まえた優先順位付けを求めています。全部に同時には対応できない前提で、何を今夜やるかを決める物差しが要ります。
この記事の要点
- CVSSの基本値は脆弱性の深刻度を表し、悪用されているかどうかや自社環境での影響は含まない
- CISAのKEVは「実際に悪用されている」確かな証拠のある脆弱性の一覧、EPSSは今後30日以内に悪用される確率の推定
- CISAの新しい指令BOD 26-04は、公開されているか、悪用を自動化できるか、乗っ取りの度合いなどで優先度を決めるとしている
3つの物差しは、別のものを測っている
CVSS
脆弱性そのものの深刻度。基本値は時間や環境によらず一定で、最悪の場合の影響を想定する。
KEV
CISAが「実際に悪用されている」確かな証拠があると判断した脆弱性の一覧。
EPSS
FIRSTのモデルによる、今後30日以内に悪用される確率の推定。毎日更新される。
FIRSTのCVSS v4.0の仕様書は、基本値（Base Score）は脆弱性の固有の特性による深刻度を表し、時間がたっても変わらず、さまざまな環境での合理的な最悪の影響を想定するとしています。利用者は、自分の使い方に応じた脅威と環境の値を加えて、自組織のリスク評価の材料にすべきだ、とも書いています。EPSSのFAQは、EPSSは完全なリスクの値ではなく、悪用された場合の被害の大きさや、自社の環境に影響するかは測らないと説明しています。
CISAのKEVカタログには、CVE番号が割り当てられていること、実際に悪用されている確かな証拠があること、ベンダーの更新など明確な対処方法があることの3つを満たした脆弱性が載ります。CISAは、連邦機関に限らず、州や自治体、民間企業を含むすべての組織に、KEVを脆弱性管理の優先付けに使うよう勧めています。
CISAの新しい指令が見る4つの変数
CISAは2026年6月10日に拘束力のある運用指令「BOD 26-04」を出し、KEVの対応期限を定めていた従来の指令BOD 22-01などを廃止しました。新しい指令は、対応の緊急度を次の変数で決めるとしています。
- 脆弱な資産がインターネットに公開されているか
- その脆弱性がKEVに載っているか
- 攻撃者が悪用の全手順を自動化できるか
- 悪用された後、攻撃者が資産を部分的に、または完全に支配できるか
指令の背景説明には、攻撃者によるAIの利用が、パッチの公開から悪用までの間に守る側が対応できる時間を、さらに狭める可能性があると書かれています。
「今夜やる」を決める順番
- 自社にあるか: 資産の台帳で、該当する製品とバージョンを使っているかを確かめる
- 外から届くか: その資産がインターネットに公開されているか
- 悪用されているか: KEVに載っているか、ベンダーや公的機関が悪用を報告しているか。載っていなければEPSSで見込みを確かめる
- どこまで取られるか: 認証なしで遠隔からコードを実行されるなど、乗っ取られる度合いが大きいか
- 事業への影響: 止まると困る業務か、更新で止めると困る業務か
2026年10月のPHP脆弱性「php2shell」は、CVSS v4.0で9.2、インターネットに公開されたWebサーバーで動き、認証なしでコードを実行される恐れがあるものでした。こうした条件がそろったものは、KEVに載るのを待たずに今夜の対象になります。逆に、深刻度が高くても社内からしか届かず、悪用の見込みも低いものは、計画的な更新に回せます。国家サイバー統括室の注意喚起も、迅速なリスク評価と対応は事業継続の観点も含めた総合的な判断になり得るため、あらかじめプロセスと体制を作っておくよう勧めています。
判断の起点は、自社の資産の台帳
どの物差しを使っても、最初の問いは「自社にあるか」です。当社のForceJOSYSは、オフィスのLANを継続して観測し、端末台帳を自動で作って更新していく、中小規模の事業所向けのIT運用支援サービスです。透過型UTMのForceUTMは、同意を得た公開アドレスのTCPポートを点検し、外部からどこが見えているかを確かめられます。拠点やグループ会社で、絞り込みの最初の2つの問いに答える材料になります。
参考資料
「自社にあるか」「外から届くか」に答える
拠点や中小規模のグループ会社の端末台帳づくりと、外から見えている場所の点検についてご相談ください。
製品の詳細はForceJOSYSのサイト、ForceUTMのサイトでご覧いただけます。
まずは相談する相談無料・