エクスプロイト&脆弱性
量はリスクではない：「Vulnpocalypse」を読み解く
2026年、脆弱性開示の「量」と悪用可能な「リスク」を切り分けるための、セキュリティリーダー向けブリーフィングです。
FIRSTの「2026 Mid-Year Vulnerability Forecast」（2026年中間脆弱性予測）によると、2026年に開示される共通脆弱性識別子（CVE）は約66,000件に達すると予測されています。脆弱性研究者のJerry Gamblin氏は、2026年上半期の開示件数が前年同期を50%近く上回るペースで推移していることを明らかにしました。その2025年自体も、過去最多となる48,185件のCVEで幕を閉じています。同氏の分析は、NVD（National Vulnerability Database）およびCVEプログラムのデータに基づくものです。2024年に記録された約40,000件からの急激な増加を見れば、「Vulnpocalypse（脆弱性の黙示録）」と呼ばれるパニックにも、一見すると理があるように思えます。
データが示す実態：開示の「量」と悪用可能な「リスク」
予測される圧倒的な開示件数に立ち向かううえで鍵となるのは、開示の「量」と実際に危険な「リスク」を切り分けることです。総数が膨れ上がる一方で、深刻度が「緊急（Critical）」の脆弱性が占める割合はほぼ半減しています。米国国立標準技術研究所（NIST）のNVDデータに基づくZafranの分析によると、2024年の約13%から2025年には約7%まで低下しました。また、実際に悪用が確認される割合は1%を大きく下回る水準で安定的に推移しています。
FIRSTの「EPSS（Exploit Prediction Scoring System：悪用予測スコアリングシステム）」によると、公開されたCVE全体のうち、実際に悪用が観測されるのは約5%にとどまります。米国サイバーセキュリティ・インフラセキュリティ庁（CISA）のKEV（Known Exploited Vulnerabilities：悪用が確認された脆弱性）カタログは、2024年末の1,239件から2025年末には1,484件へと着実に増加しましたが、数万件規模の新規開示と比べれば誤差の範囲にすぎません。
Zafranの分析が示すとおり、Vulnpocalypseがもたらすのは悪用可能なリスクの比例的な爆発ではなく、トリアージの深刻なボトルネックです。実際、NVDが2025年に新規開示CVEを完全に分析できたのは約28%にとどまりました。NIST自身もこの逼迫を認めており、2020年以降で登録件数が263%増加したと報告したうえで、現在ではすべてのCVEを分析するのではなく、リスク階層に応じてエンリッチメント（情報付加）の優先順位を付ける方式へ移行しています。
なぜ「生の件数」が爆発的に増えているのか
注意すべきは、CVEの急増はソフトウェアの安全性が急激に低下したことを意味するものではない、という点です。この増加は、次の3つの構造的要因によってもたらされています。
AI支援による脆弱性発見
自律型のバグハンティングでは、フロンティアモデルが数十年分のレガシーコードの解析に投入されています。AnthropicのMythosやOpenAIのGPT 5.5といったモデルは、潜在していた安定性のバグを掘り起こすことに極めて優れています。しかし、量はリスクではありません。Linuxカーネルだけで5,800件を超えるCVEが登録されていますが、これは同カーネルのCNA（CVE Naming Authority）が、セキュリティへの影響が実証されていないものも含め、ほぼすべてのバグ修正に識別子を割り当てているためです。この集合全体で実際に悪用される割合はほぼゼロ（0.02%程度）です。欠陥が見つかることと、それが武器化されることは、まったく別の事象です。
報告体制の構造的変化
脆弱性の発見とカタログ化を支えるインフラの整備が進んだことで、実際のエクスポージャー（リスクにさらされる度合い）は変わらないまま、件数だけが押し上げられています。GitHub Security Advisoryの件数が前年比で約449%増加したことや、これまで採番されていなかった脆弱性の大量のバックログがようやくカタログ化されつつあることが、その例です。
製品数の急増
脆弱性の追跡対象となる製品の数は、桁違いに増加しています。ソフトウェアが増えれば、CVEも単純に増えます。同じことはコードにも当てはまります。AIやコーディングエージェントが生み出すコードが増えるほど、生み出されるバグも増えるのです。
本当の脅威は「量」ではなく「スピード」
本当に注目すべき指標はスピードです。開示から悪用までの猶予は数週間から数時間へと縮まりつつあり、ベンダーのパッチが公開される前に悪用が始まるケースの割合も増えています。これを受けてCISAは先般、一律14日としていたKEVの修正期限を廃止し、リスクベースのモデルへ移行しました。最もリスクの高い組み合わせに対しては、最短3日での対応が求められることもあります。
ここで必須となるのが、AIオペレーショナルエクセレンスとプロアクティブな脅威インテリジェンスです。TrendAI™ Zero Day Initiative™（ZDI）は、このギャップを前段で埋めるために存在しています。19,000名を超えるリサーチャーの協力に支えられたTrendAI™ ZDIは、2023年の第三者集計（英語）において世界の協調的な脆弱性開示の約60%を占め、深刻度「緊急」の脆弱性でも57%を占めました。さらに、これらの発見を保護策へと変え、ベンダーパッチの提供より平均115日早くお客さまに届けています。攻撃者がエッジデバイスに対してゼロデイ脆弱性を公開当日に武器化してくる状況では、開示前の保護はもはや選択肢の一つではなく必須です。
セキュリティリーダーのためのアクションプラン
2026年に予想される事態を乗り切るには、セキュリティプログラムの発想を「雨粒を数える」ことから「洪水を無力化する」ことへ転換する必要があります。セキュリティリーダーが自問すべきは、「依然としてCVEの件数を報告しているのか、それとも指標を悪用可能性へ転換できているのか」という問いです。2026年に成果を上げるのは、最も多くのパッチを適用したチームではなく、何を最初にパッチすべきかを正確に把握していたチームです。圧倒的な件数に飲み込まれず、脆弱性へ戦略的に対処するためのベストプラクティスとして、以下を推奨します。
経営層への報告から「生のCVE件数」をなくす
生の数字は不安をあおるだけで、判断材料にはなりません。手元のデータに基づき、実際に対応すべき部分と傾向を報告しましょう。
トリアージは「KEVを最優先、次にEPSS」
悪用が確認されているという事実は、利用できる中で最も鋭いフィルタです。悪用可能性が上位の脆弱性にはゼロデイ級の緊急度でパッチを適用し、残りは通常のサイクルで対応します。
仮想パッチと封じ込めで時間を取り戻す
悪用のスピードが修正を上回る場合や、ベンダーパッチがまだ存在しない場合でも、ネットワーク層やワークロード層で脆弱なシステムを保護すれば、コードの修正を待たずに悪用経路を無力化できます。仮想パッチと封じ込めは、開示からパッチ適用までのギャップを「無防備な期間」から「管理された期間」へと変えます。そして、これらが最も効果を発揮するのは、まさにトリアージによって浮かび上がる、実際に悪用されているごく一部の脆弱性に対してです。
パッチ作業の拡大ではなく、自動化に投資する
エンリッチメントとトリアージの負荷が倍増する一方で、本番システムへの緊急パッチ適用の件数は横ばいです。ノイズを切り分けるインテリジェンスに予算を振り向けましょう。
メタデータのギャップを埋める
新規CVEの多くは、深刻度や対象製品のデータが不完全なまま公開されます。カタログの生のフィールドではなく、悪用可能性に関するインテリジェンスを拠りどころにしましょう。
参考記事
Volume Is Not Risk: Making Sense of the `Vulnpocalypse´
By: Johnny Hand（Global Chief Information Security Officer）
翻訳：与那城 務（Platform Marketing, TrendAI Research）