脆弱性の悪用 ― 侵入経路の首位に躍り出た手口

「脆弱性の悪用」は2026年、世界の侵入経路の首位に立ちました。Verizon DBIR 2026では全侵害の31%が脆弱性悪用による侵入で、盗まれた認証情報(前年の首位)を抜いて1位です。なかば衝撃的なのは VPN・ファイアウォールなど境界に立つ機器の悪用が約3%から22%へ一気に拡大した点で、修正プログラムが出る前後の数日〜数週間が勝負になっています。

日本でも同じ構図が観測されています。トレンドマイクロの調査チームは、公開されている Web アプリケーションの既知の脆弱性を突いてウェブシェルを設置し、権限昇格・横展開でデータベースに到達する一連の手口が国内で増加していると報告。2026年秋に国内約80社を標的とした攻撃で使われたとされる中国系 AI「ARTEX」も、業種を絞った自動スキャンと組み合わせた脆弱性突きが主戦術でした。

ここでの要点は「新しい攻撃」ではなく「直せると分かっている穴を突かれる」ことです。対応済みの脆弱性が悪用される事案が大半を占めるため、パッチ適用の速度とインターネット公開資産の棚卸しが、他のどの対策より効きます。

国内トレンドマイクロの調査では、日本でも「既知脆弱性→ウェブシェル→権限昇格→データベース到達」という一連の流れを持つ侵害が増加しています。つまり日本の2026年秋の漏洩ラッシュは、特殊な手法ではなく世界標準の手口が大量に実行された結果です。

対策の優先順位は明確で、①インターネット公開資産の棚卸し、②エッジ機器・公開アプリの最優先パッチ適用、③侵害前提の内部構造(権限分離・分段)です。「全ての脆弱性をすぐ直す」ことは現実的でないため、露出資産から順に潰す運用が重要です。