エクスプロイト&脆弱性
セキュリティ101：仮想パッチ
パッチが適用されていない、または脆弱性を抱えるアプリケーションや組織のITインフラは、どのようなリスクにさらされるのでしょうか。本記事では、企業の脆弱性管理とパッチ管理にまつわる課題を仮想パッチがどのように解決するのかを解説します。
仮想パッチとは
仮想パッチは「脆弱性シールド（vulnerability shielding）」とも呼ばれ、脆弱なアプリケーション自体には手を加えず、ネットワークまたはワークロードのレイヤーで既知の脆弱性を悪用する試みを検知・遮断するセキュリティポリシーとルールの仕組みです。脆弱性が公表された時点から、ベンダの正式なパッチをテストして展開できるようになるまでシステムを保護します。パッチが提供されない場合には、継続的な保護策としても利用できます。
仮想パッチの仕組み
脆弱性が公表されると、攻撃者は多くの組織がパッチを適用するよりも早く、その脆弱性の武器化を進めます。仮想パッチは、この空白期間を埋めます。脆弱なコードを変更する代わりに、通常はネットワーク層またはホスト上の侵入防止システム（IPS）フィルタをルールとして適用します。ルールは通信を検査し、対象の脆弱性を狙う特定のエクスプロイトパターンを遮断します。脆弱なシステムには手を加えず稼働を続けたまま、攻撃が到達するのを防ぎます。
この保護はセキュリティ制御のレイヤーで機能するため、パッチ適用のために停止できないアプリケーション、利用可能なパッチがないレガシーシステムやサポート終了システム、変更可能な時間帯が限られ、すぐにパッチを適用できない環境も保護できます。
2026年に仮想パッチが重要な理由
- 脆弱性の悪用は、攻撃者が侵入する最も一般的な手段になっています。「Verizon 2026 Data Breach Investigations Report」（英語）によると、侵害の31%で脆弱性の悪用が初期アクセスに使われました。同レポートの19年の歴史で初めて、認証情報の悪用（13%）を上回り、すべての侵入経路の首位となりました。
- パッチ適用が追いついていません。同レポートによると、米国サイバーセキュリティ・インフラセキュリティ庁（CISA）の「既知の悪用された脆弱性（KEV）」カタログに掲載された脆弱性のうち、2025年中に完全に修正されたものは26%にとどまり、前年の38%から低下しました。完全な修正に要する期間の中央値も43日に延びています。
- 深刻な脆弱性が何カ月も放置されています。Edgescanの「2025 Vulnerability Statistics Report」第10版（英語）によると、深刻度「緊急」のアプリケーション脆弱性を修正するまでの平均日数は74.3日です。また、企業の脆弱性の45.4%は、12カ月後もパッチが適用されていませんでした。
- 対応を誤った場合のコストは上昇し続けています。IBMの「2025 Cost of a Data Breach Report」（英語）によると、データ侵害1件あたりの平均コストは世界全体で444万米ドル、米国では過去最高の1,022万米ドルに達しています。
- TrendAI™はいち早く脆弱性を把握します。世界最大のベンダ非依存型バグバウンティプログラムであり、Omdiaによる2024年の脆弱性開示件数で首位（英語）と評価されたTrendAI™ Zero Day Initiative™（ZDI）は、一般公開前にTrendAI™のお客さまへ保護を提供します。
- SharePoint「ToolShell」（2025年7月）。オンプレミスのMicrosoft SharePointサーバでは、CVE-2025-53770と関連する脆弱性が広範に悪用（英語）されました。認証なしでリモートコードを実行できるため、政府機関、医療機関、学校、大企業が直ちに危険にさらされ、一般公開前から悪用が始まっていました（英語）。組織が完全な修正を展開するまで、エクスプロイトを遮断するルールによって、パッチ未適用のサーバを既知の攻撃から保護できます。
- Cl0pによる恐喝キャンペーン（2024～2026年）。Cl0pグループは、2024年12月にCleoのファイル転送製品、2025年にはOracle E-Business Suite（CVE-2025-61882）のゼロデイ脆弱性を悪用しました。2024年12月のCleoへの攻撃では、Cl0pが恐喝対象として被害企業66社を特定（英語）した一方、リサーチャーは提供済みのパッチを回避できる可能性があると警告しました。
- AI時代のアタックサーフェス： 攻撃者はAIツールを使い、公表されたCVEを数日、場合によっては数時間で武器化しており、パッチ適用までの猶予はさらに短くなっています。
- インターネットに公開されたエッジデバイス、VPN、ゲートウェイ、ファイル転送アプライアンスは、脆弱性悪用の標的になりやすい状況にあります。
- 今後パッチが提供されないサポート終了システムも、本番環境で広く使われています。Windows Server 2012/2012 R2は2023年10月、Windows 10は2025年10月にサポートを終了しました。
- レガシーシステム、組み込みシステム、OTシステムは、運用上のリスクがあるため、変更や再起動ができない場合があります。
仮想パッチとコンプライアンス
主要なフレームワークでは、仮想パッチのような代替コントロールが認められています。現行版の「PCI DSS v4.0.1」（英語）は2024年6月に公開（英語）され、既知の脆弱性を速やかに修正することを求めています。また、本来の要件を満たせない場合には、文書化された代替コントロールを認めています。仮想パッチを利用すれば、恒久的な修正を予定どおり進めながら、こうした要件に対応できます。
よくある質問
仮想パッチとは何ですか？
仮想パッチとは、脆弱なアプリケーションを変更することなく、通常は侵入防止フィルタなどのセキュリティルールによって既知のソフトウェア脆弱性を保護し、悪用を防ぐ手法です。「脆弱性シールド」とも呼ばれます。
仮想パッチは正式なパッチの代わりになりますか？
いいえ。仮想パッチは、ベンダのパッチをテストして展開できるようになるまで脆弱性を保護する代替コントロールです。正式なパッチが恒久的な修正であることに変わりはありません。仮想パッチは、正式なパッチを安全にテスト・展開するための時間を確保するとともに、今後パッチが提供されないシステムも保護します。
仮想パッチはどのように機能しますか？
ネットワークまたはホストのレイヤーで動作する侵入防止ルールが通信を検査し、特定の既知の脆弱性を狙うエクスプロイトパターンを検知します。そして、脆弱なアプリケーションに到達する前に、悪用の試みを遮断します。アプリケーション自体には一切変更を加えません。
脆弱性シールドとは何ですか？
脆弱性シールドとは、仮想パッチの別名です。ソフトウェアベンダのパッチ提供サイクルとは別にセキュリティポリシーを適用し、既知の脆弱性が悪用されるのを防ぎます。
組織はどのような場合に仮想パッチを利用すべきですか？
脆弱性の公表からパッチ展開までに空白期間が生じる場合には、仮想パッチを利用すべきです。具体的には、パッチのテスト中や変更管理サイクルの途中、サポート終了システムやレガシーシステム、ベンダの修正を待っているサードパーティ製ソフトウェア、ダウンタイムを許容できないシステムなどが該当します。
TrendAI™が提供する仮想パッチソリューション
TrendAI Vision One™は、TrendAI™ ZDIの脆弱性インテリジェンスを活用し、クラウドワークロード、エンドポイント、ネットワークを対象とする仮想パッチソリューションを提供します。
TrendAI Vision One™ Cyber Risk Exposure Management（CREM）： 仮想パッチを戦略的に導入するための起点となる機能です。CREMはアタックサーフェス全体から悪用可能な脆弱性を継続的に検出し、優先順位を付けます。特に重要なリスクについては、仮想パッチルールの適用を含む自動的なリスク低減策を実行できます。
TrendAI Vision One™ Cloud Security - Server & Workload Protection： ホスト型IPSがサーバ、仮想マシン（VM）、コンテナ、クラウドワークロードに仮想パッチを適用します。再起動やコード変更を行わずに、エクスプロイトから保護できます。
TrendAI Vision One™ Endpoint Security： 脆弱性シールドをエンドポイントにも拡張します。攻撃者が狙うことの多いOSやアプリケーションについて、正式なパッチよりも先にIPSルールを提供します。
TrendAI Vision One™ Network Security： TrendAI™ ZDIのインテリジェンスを活用したDigital Vaccineフィルタを搭載するTippingPoint TXEアプライアンスが、ネットワークエッジでエクスプロイトをインライン遮断します。ベンダのパッチが提供される前にTrendAI™ ZDIを通じて開示されたゼロデイ脆弱性も対象とし、ネットワーク検知・対応（NDR）機能も組み込まれています。
参考記事
Security 101: Virtual Patching
By : TrendAI™ Research
翻訳：与那城 務（Platform Marketing, Trend Micro™ Research）