脆弱性（コンピュータセキュリティ）

脆弱性は、以下のような設計上の不備によって悪化する可能性があります。

• 複雑性：大規模で複雑なシステムは、欠陥や意図しないアクセスポイントが発生する可能性を高めます。^{[ 11 ]}
• 馴染みやすさ: 一般的な、よく知られたコード、ソフトウェア、オペレーティングシステム、および/またはハードウェアを使用すると、攻撃者が脆弱性を悪用するための知識とツールを持っているか、見つけることができる可能性が高くなります。^{[ 12 ]}ただし、よく知られたソフトウェア、特にフリーソフトウェアやオープンソースソフトウェアを使用すると、発見された脆弱性に対するソフトウェアパッチがより頻繁に、より確実に提供されるという利点があります。
• 接続性：インターネットに接続されているシステムはすべてアクセスされ、侵害される可能性があります。システムをインターネットから切断することは、攻撃を防ぐのに非常に効果的ですが、常に実行可能とは限りません。^{[ 13 ]}
• レガシーソフトウェアとハ​​ードウェアは、その性質上、リスクが高くなります。^{[ 14 ]}システム管理者はレガシーシステムからのアップグレードを検討すべきですが、これはコストとダウンタイムの観点から多くの場合、実現不可能です。

不適切なソフトウェア開発手法は、コードベースに脆弱性が混入する可能性に影響を与える可能性があります。安全なソフトウェア開発に関する知識やトレーニングの不足、納期に対する過度のプレッシャー、あるいは過度に複雑なコードベースは、脆弱性が混入し、見過ごされる原因となります。また、セキュリティが企業文化で優先されていない場合、これらの要因はさらに悪化する可能性があります。^{[ 15 ]}不十分なコードレビューもバグの見落としにつながる可能性がありますが、コードレビュープロセス中に使用できる静的コード分析ツールもあり、脆弱性の発見に役立ちます。^{[ 16 ]}

DevOps は、新機能の展開を迅速化するために自動テストと展開を重視する開発ワークフローですが、多くの場合、多くの開発者に変更構成へのアクセス権限を与える必要があり、意図的または偶発的に脆弱性が混入する可能性があります。^{[ 17 ]} DevOps ワークフローの一部である依存関係のコンパートメント化は、依存関係を必要なものだけに絞り込むことで攻撃対象領域を縮小できます。 ^{[ 18 ]}組織独自のハードウェアとソフトウェアではなく、サービスとしてのソフトウェアを使用する場合、組織は脆弱性の防止をクラウド サービス プロバイダーに依存します。^{[ 19 ]}

国家脆弱性データベースは、脆弱性を重複する可能性のある8つの根本原因に分類しています。^{[ 20 ]}

1. 入力検証の脆弱性は、入力チェックだけでは攻撃者が悪意のあるコードを注入するのを防ぐのに十分でない場合に存在します。バッファオーバーフロー攻撃、バッファアンダーフロー攻撃、境界条件攻撃は、通常このカテゴリを利用します。^{[ 21 ]}
2. アクセス制御の脆弱性により、攻撃者は本来アクセスが制限されているはずのシステムにアクセスしたり、権限昇格を実行したりすることが可能になります。^{[ 21 ]}
3. システムが例外的な状況や予期せぬ状況を正しく処理できない場合、攻撃者はその状況を利用してアクセス権を取得する可能性があります。^{[ 22 ]}
4. 構成上の脆弱性は、構成設定がシステムセキュリティにリスクをもたらす場合に発生し、パッチ未適用のソフトウェアやアクセスを十分に制限しないファイルシステム権限などの欠陥につながります。^{[ 22 ]}
5. 競合状態（タイミングやその他の外部要因によって結果が変わり、一貫性のない、または予測不可能な結果が生じる状態）は脆弱性を引き起こす可能性がある。^{[ 22 ]}

意図的なセキュリティバグは製造中または製造後に導入され、特定の状況下で集積回路が期待どおりに動作しなくなる可能性があります。ハードウェアのセキュリティバグのテストは、時間の制約と21世紀のチップの複雑さのため非常に困難ですが^{[ 23 ]} 、設計と製造のグローバル化により、悪意のある行為者によってこれらのバグが導入される機会が増えています^{[ 24 ] 。}

オペレーティングシステムの脆弱性は、使用するオペレーティングシステムによって異なりますが、共通の問題は、攻撃者が本来許可されている以上のアクセス権を取得できる権限昇格バグです。LinuxやAndroidなどのオープンソースのオペレーティングシステムは、ソースコードが自由に利用可能で、誰でも貢献できるため、脆弱性が持ち込まれる可能性があります。しかし、 Microsoft WindowsやAppleのオペレーティングシステムなどのプロプライエタリなオペレーティングシステムでも、同様の脆弱性が発生します。[ ^{25 ]信頼}できるオペレーティングシステムのベンダーはすべて、定期的にパッチを提供しています。^{[ 26 ]}

クライアント/サーバーアプリケーションはエンドユーザーのコンピュータにダウンロードされ、通常はWebアプリケーションよりも更新頻度が低くなります。Webアプリケーションとは異なり、ユーザーのオペレーティングシステムと直接やり取りします。これらのアプリケーションの一般的な脆弱性には次のものがあります。^{[ 27 ]}

• 永続的に保存されている、またはネットワーク経由で送信される暗号化されていないデータは、攻撃者にとって比較的簡単に盗むことができる。^{[ 27 ]}
• プロセスハイジャックは、攻撃者が既存のコンピュータプロセスを乗っ取るときに発生します。^{[ 27 ]}

ウェブアプリケーションは多くのウェブサイト上で稼働しています。他のアプリケーションに比べて本質的にセキュリティが低いため、データ漏洩やその他のセキュリティインシデントの主な原因となっています。^{[ 28 ] [ 29 ]}ウェブアプリケーションには以下のようなものがあります。

• 認証と認可の失敗により、攻撃者は信頼できるユーザーのみに制限されるべきデータにアクセスできるようになります。^{[ 28 ] [ 30 ]}
• ビジネスロジックの脆弱性は、プログラマーがビジネスロジック内で発生する予期せぬケースを考慮していない場合に発生します。

ウェブアプリケーションの脆弱性を悪用した攻撃には、以下のようなものがあります。

• クロスサイトスクリプティング（XSS）は、入力チェックが不十分で注入されたコードを拒否できない場合に、攻撃者がJavaScriptベースのマルウェアを注入して実行することを可能にします。 ^{[ 28 ]} XSSは、攻撃者がマルウェアをデータフィールドに保存し、データが読み込まれたときに実行する場合、永続的になる可能性があります。また、悪意のあるURLリンクを使用して読み込むこともできます（反射型XSS）。^{[ 28 ]}攻撃者は、ドメインオブジェクトモデルに悪意のあるコードを挿入することもできます。^{[ 31 ]}
• SQLインジェクションや類似の攻撃は、データベースクエリを操作してデータへの不正アクセスを取得します。^{[ 31 ]}
• コマンドインジェクションは、攻撃者がマルウェアをデータフィールドやプロセスに配置するコードインジェクションの一種です。攻撃者はサーバー全体を乗っ取ることができる可能性があります。^{[ 31 ]}
• クロスサイトリクエストフォージェリ（CSRF）とは、攻撃者がユーザーの認証情報を変更するなど、悪意のある動作を行うクライアントリクエストを作成することです。^{[ 31 ]}
• サーバーサイドリクエストフォージェリはCSRFに似ていますが、リクエストはサーバー側から偽造され、多くの場合、サーバーの強化された権限を悪用します。^{[ 31 ]}
• ビジネスロジックの脆弱性は、プログラマーがビジネスロジックで発生する予期せぬケースを考慮しない場合に発生します。^{[ 32 ]}

修復とは、例えばソフトウェアパッチをダウンロードすることによって脆弱性を修正することです。^{[ 40 ]}脆弱性スキャナーは通常、ゼロデイ脆弱性を検出できませんが、データベースに基づいて既知の脆弱性を見つけるのに効果的です。これらのシステムは、既知の脆弱性の一部を検出し、パッチなどの修正を推奨することができます。^{[ 41 ] [ 42 ]}ただし、誤検出などの制限があります。^{[ 40 ]}

脆弱性は、それが組み込まれているソフトウェアがシステム上でアクティブに実行されているときのみ悪用できます。^{[ 43 ]}脆弱性を含むコードがシステム上で実行されるように構成される前は、それはキャリアとみなされます。^{[ 44 ]}休眠状態の脆弱性は実行可能ですが、現在は実行されていません。休眠状態およびキャリア状態の脆弱性を含むソフトウェアは、アンインストールまたは無効化することでリスクを取り除くことができます。^{[ 45 ]}アクティブな脆弱性は、他のタイプと区別することで、パッチ適用を優先することができます。^{[ 43 ]}

脆弱性緩和とは、脆弱性を完全に解消するのではなく、悪用を困難にしたり、攻撃による被害を軽減したりする対策です。^{[ 46 ]}特にルート（管理者）アクセス権限を持つシステムの一部において攻撃対象領域を縮小し、特権悪用を行うエクスプロイトの機会を遮断することは、サイバー攻撃による被害を軽減するための一般的な戦略です。^{[ 40 ]}サードパーティ製ソフトウェアのパッチが入手できない場合は、ソフトウェアを一時的に無効にできる場合があります。^{[ 47 ]}

侵入テストは、脆弱性を悪用してシステムに侵入し、システムが安全でないかどうかを確認するものです。^{[ 48 ]}侵入テストが失敗したとしても、必ずしもシステムが安全であるとは限りません。^{[ 49 ]}侵入テストの中には、既知の脆弱性に対して既存の脆弱性攻撃をテストする自動化されたソフトウェアを使用して実施できるものもあります。^{[ 50 ]} また、訓練を受けたハッカーによって実施される侵入テストもあります。多くの企業は、外部からの攻撃をシミュレートするため、この作業を外部委託することを好みます。^{[ 49 ]}

脆弱性の深刻度を評価するためによく使用される尺度は、オープンソース仕様の共通脆弱性評価システム（CVSS）です。CVSSは、脆弱性を悪用してデータの機密性、可用性、完全性を侵害する可能性を評価します。また、脆弱性がどのように使用されるか、悪用がどれほど複雑になる必要があるかも考慮します。悪用に必要なアクセスの量と、ユーザーの操作なしで悪用できるかどうかも、総合スコアに考慮されます。^{[ 63 ] [ 64 ]}

脆弱性を発見した人は、それをすぐに開示する（完全開示）か、パッチが開発されるまで待つ（責任ある開示、または協調的開示）かのいずれかです。前者のアプローチは透明性が高いと評価されていますが、欠点は、パッチが利用できない状態で開示すると攻撃のリスクが高まる可能性があることです。^{[ 65 ]}ベンダーによっては、脆弱性を報告した人にバグ報奨金を支払うところもあります。 ^{[ 66 ] [ 67 ]}法的責任や運用上のオーバーヘッドが発生する可能性があるため、すべての企業が開示に積極的に対応するわけではありません。^{[ 68 ]} 脆弱性の開示を義務付ける法律はありません。^{[ 69 ]}ベンダーや一般に開示しない第三者によって脆弱性が発見された場合、それはゼロデイ脆弱性と呼ばれ、防御策が少ないため、最も危険なタイプとみなされることがよくあります。^{[ 70 ]}

最も一般的に使用されている脆弱性データセットは、 Mitre Corporationが管理するCommon Vulnerabilities and Exposures (CVE)です。^{[ 71 ]} 2026 年 4 月現在、327,000 件を超えるエントリがあります。^{[ 1 ]}この情報は、米国国家脆弱性データベース^{[ 71 ]}を含む他のデータベースと共有されており、そこでは、各脆弱性にCommon Vulnerability Scoring System (CVSS)、Common Platform Enumeration (CPE) スキーム、Common Weakness Enumerationを使用してリスク スコアが付けられています。CVEやその他のデータベースは通常、サービスとしてのソフトウェア製品の脆弱性を追跡していません。^{[ 41 ]}脆弱性を発見した企業にとって、CVE の提出は任意です。^{[ 69 ]}