生成AIの普及により増加するITシステムの脆弱性について、サイバーセキュリティの基礎から、SQLインジェクションや不正アクセスなどの攻撃手法、CVEによる脆弱性情報の調査方法まで詳しく解説します。情報漏えいを防ぐためのパスワード管理、多要素認証、ソフトウェア更新、バックアップなど、個人でも実践できる個人情報保護対策を紹介し、安全なインターネット利用に役立つ情報を提供します。
米非営利団体MITREの集計によると、世界で発見されたITシステムの脆弱性が急増しており、2025年には4万8千件を超え、2021年の約2.4倍に達した。2026年も6月までに3万5千件を超え、過去最多のペースで推移している。
背景には、生成AIの普及により、セキュリティー上の弱点を短時間で大量に発見できるようになったことがある。
発見された脆弱性を放置すると、不正アクセスやサイバー攻撃に悪用され、個人情報などが漏えいする危険性が高まる。そのため、企業には修正プログラム（パッチ）の迅速な適用など、適切な対策が求められている。
「タイムズカー」や「焼肉きんぐ」などで情報漏えいが相次いだことを受け、政府も企業に脆弱性対策の徹底を要請した。MITREは、脆弱性をCVEと呼ばれる識別番号で管理し、関係者間で情報を共有することで、対策に役立てている。
今回のニュースに関連するMITREの公式サイトは、主に「MITRE公式サイト」と「CVE（脆弱性情報データベース）」の2つです。脆弱性の登録件数や個別のセキュリティー問題を調べる場合は、CVEのサイトが特に役立ちます。
サイト名：MITRE（マイター）
MITREは、米国の非営利研究開発組織です。国家安全保障、航空安全、医療、サイバーセキュリティーなど、幅広い分野で研究開発や技術支援を行っています。
主な掲載内容
サイト名：CVE（Common Vulnerabilities and Exposures）
CVEは、公開されたソフトウェアやITシステムの脆弱性に共通の識別番号を付け、関係者間で情報を共有するための国際的な仕組みです。MITREが中心となって運営してきたプログラムで、脆弱性の特定や修正対応に役立てられています。
主な掲載内容
ページ名：CVE Metrics（登録件数の統計）
URL：https://www.cve.org/About/Metrics
年別・四半期別のCVE登録件数などを確認できるページです。今回のニュースで取り上げられた、脆弱性の登録件数が増加している傾向を調べる際に役立ちます。
なお、記事にある「2025年は4万8千件超、2021年の2.4倍」という数値は、記事が紹介している集計結果です。CVEの統計ページに表示される数値は、集計時点や登録状況の変更によって異なる場合があります。
CVEに登録されていること自体が、すでにサイバー攻撃を受けていることを意味するわけではありません。また、CVEは脆弱性情報を識別・共有する仕組みであり、すべてのサイバー攻撃や情報漏えい事件を網羅するニュースサイトではありません。
脆弱性情報を継続的に調査する場合は、以下の2つのページをブックマークしておくと便利です。
ITシステムの脆弱性とは、ソフトウェア、サーバー、ネットワーク、ハードウェアなどに存在するセキュリティー上の弱点です。悪用されると、個人情報の漏えい、不正ログイン、システムの乗っ取り、サービス停止などにつながる可能性があります。
脆弱性の分類には、MITREが管理するCWE（Common Weakness Enumeration）などの共通基準が利用されています。以下では、代表的な脆弱性を種類別に解説します。
概要：Webサイトの入力フォームなどから不正なSQL文を実行させ、データベースを操作される脆弱性です。
具体例：ログインフォームや検索フォームの入力値が適切に処理されず、データベース内の顧客情報やアカウント情報を不正に取得・変更される。
主な被害：個人情報の漏えい、データの改ざん、削除、不正ログイン。
主な対策：プレースホルダーを用いたパラメーター化クエリの使用、入力値の適切な検証、データベース権限の最小化。
概要：Webページに悪意のあるスクリプトを埋め込まれ、閲覧者のブラウザー上で実行される脆弱性です。
具体例：掲示板やコメント欄に不正なスクリプトが投稿され、ページを閲覧した利用者のブラウザーで実行される。
主な被害：セッション情報の窃取、偽画面への誘導、利用者情報の不正取得。
主な対策：出力先に応じたエスケープ処理、HTMLの適切なサニタイズ、コンテンツセキュリティーポリシー（CSP）の設定。
概要：ログイン中の利用者のブラウザーを悪用し、本人が意図していない操作をWebサイトに実行させる脆弱性です。
具体例：利用者がログインしたまま不正なページを開き、本人の意図しない設定変更などが実行される。
主な被害：アカウント設定の変更、投稿、登録情報の変更など。
主な対策：CSRFトークンの利用、重要操作時の再認証、CookieのSameSite属性の適切な設定。
概要：ファイルのパスを適切に制限していないため、本来アクセスできないファイルを読み書きされる脆弱性です。
具体例：ファイルのダウンロード機能を悪用され、公開対象外の設定ファイルや内部データを読み取られる。
主な被害：設定情報の漏えい、認証情報の窃取、ファイルの不正変更。
主な対策：許可されたファイルだけを扱う設計、パスの正規化、公開ディレクトリーと機密ファイルの分離。
概要：サーバーが外部から指定されたURLなどにアクセスする機能を悪用され、内部ネットワークのリソースへ不正にアクセスされる脆弱性です。
具体例：画像取得やURLプレビュー機能を悪用され、外部から直接アクセスできない内部サービスにリクエストが送られる。
主な被害：内部情報の漏えい、内部サービスへの不正アクセス、クラウド環境の認証情報の漏えい。
主な対策：アクセス先の許可リスト化、内部ネットワークへの通信制限、URL検証、ネットワーク分離。
概要：本人確認が必要な機能に認証が実装されていない、または認証が不十分な状態です。
具体例：管理画面や重要なAPIに、ログインせずアクセスできてしまう。
主な被害：管理機能の不正利用、情報漏えい、システム設定の改ざん。
主な対策：すべての重要機能で認証を必須にする、多要素認証（MFA）の導入、認証処理の定期的な検証。
概要：ログイン済みの利用者であっても、許可されていない情報や機能にアクセスできてしまう問題です。
具体例：一般利用者が管理者向けの画面を操作できる、別の利用者の請求情報や登録情報を閲覧できる。
主な被害：個人情報の漏えい、データの改ざん、権限の不正利用。
主な対策：サーバー側での権限確認、ユーザーごとのアクセス制限、管理者権限の最小化。
概要：ソースコードや設定ファイルにパスワードやAPIキーなどが固定値で埋め込まれている問題です。
具体例：公開されたソースコードからデータベースのパスワードや外部サービスのAPIキーが見つかる。
主な被害：アカウントの乗っ取り、不正なAPI利用、データベースへの侵入。
主な対策：秘密情報をソースコードに記載しない、環境変数やシークレット管理サービスを使用する、漏えいしたキーを速やかに無効化する。
概要：データを格納する領域の容量を超えて書き込み、メモリーを破壊する問題です。
具体例：プログラムが想定以上の長さの入力データを受け取り、隣接するメモリー領域まで上書きしてしまう。
主な被害：プログラムの異常終了、情報漏えい、条件によっては任意コードの実行。
主な対策：入力サイズの検証、メモリー安全性の高い言語の採用、安全なライブラリーの利用、メモリー保護機能の有効化。
概要：プログラムが許可されたメモリー領域の範囲外に書き込んだり、読み取ったりする問題です。
具体例：配列の境界を確認せずに処理し、隣接するメモリーの情報を読み取ったり変更したりする。
主な被害：機密情報の漏えい、データ破損、プログラムの停止、任意コード実行につながる可能性。
主な対策：配列やバッファーの境界チェック、メモリー安全な実装、静的解析や動的テストの実施。
概要：一度解放したメモリーを、プログラムが再び参照・使用してしまう問題です。
具体例：不要になったデータ領域を解放した後、その領域を別の処理が利用しているにもかかわらず、古い参照を通じてアクセスしてしまう。
主な被害：プログラムのクラッシュ、メモリー破壊、条件によってはコード実行。
主な対策：メモリーの所有権を明確にする、安全なメモリー管理方式を採用する、メモリー検査ツールを活用する。
概要：外部から入力されたデータがOSコマンドの一部として不適切に処理され、意図しないコマンドを実行される脆弱性です。
具体例：Webアプリケーションが入力値を十分に検証せずにOSコマンドへ渡し、サーバー上で意図しない処理が行われる。
主な被害：ファイルの不正操作、情報漏えい、サーバーの乗っ取り。
主な対策：可能な限りOSコマンドの直接実行を避け、安全なAPIを使用する。必要な場合は引数を適切に分離し、入力値を厳格に検証する。
概要：アップロードできるファイルの種類や処理方法が適切に制限されていない問題です。
具体例：画像投稿機能に実行可能なファイルをアップロードされ、サーバー側で実行されてしまう。
主な被害：不正なコードの実行、Webサイトの改ざん、情報漏えい。
主な対策：拡張子だけでなくファイル形式も検証する、アップロード先を公開領域や実行可能領域から分離する、サイズ制限とマルウェア検査を導入する。
概要：外部から受け取ったデータをオブジェクトなどに復元する際、安全性を十分に確認していない問題です。
具体例：外部から送信されたデータを無条件に復元した結果、意図しない処理が実行される。
主な被害：サービス停止、データ改ざん、条件によっては任意コード実行。
主な対策：信頼できないデータの復元を避ける、安全な形式を使用する、データの構造や型を検証する。
概要：暗号化が行われていない、または暗号方式や鍵の管理が不適切な状態です。
具体例：通信や保存データが適切に暗号化されていない、弱い暗号方式を使用している、秘密鍵が漏えいしている。
主な被害：パスワード、個人情報、決済情報などの漏えい。
主な対策：TLSなどの適切な通信暗号化、十分な強度を持つ暗号方式の利用、鍵の安全な保管と定期的な見直し。
概要：本来アクセスできない人に、機密情報が表示・提供されてしまう問題です。
具体例：バックアップファイル、エラーログ、設定ファイル、データベースの情報などがWeb上から閲覧できる状態になっている。
主な被害：個人情報の漏えい、認証情報の窃取、攻撃対象の特定。
主な対策：公開領域に機密ファイルを置かない、アクセス権限を適切に設定する、エラーメッセージやログの内容を見直す。
概要：受け取ったデータが想定された形式や範囲に合っているかを適切に確認しない問題です。
具体例：数値を想定した項目に不正な文字列が入力される、許容範囲を超える値が処理される。
主な被害：不正なデータ登録、処理エラー、ほかの脆弱性を悪用される原因になる。
主な対策：入力値の型、長さ、形式、範囲をサーバー側で検証する。入力値をそのまま信頼しない。
概要：数値がデータ型で表現できる範囲を超え、計算結果が意図しない値になる問題です。
具体例：ファイルサイズや件数の計算で数値が上限を超え、メモリー確保や処理範囲の計算が誤る。
主な被害：処理の異常、データ破損、メモリー関連の脆弱性につながる可能性。
主な対策：数値の上限・下限を検証し、オーバーフローを検出できる安全な演算方法を利用する。
概要：メモリー、CPU、接続数、ストレージなどの使用量に適切な制限がない問題です。
具体例：大量のリクエストや大きなファイルを繰り返し送信され、サーバーの処理能力が限界に達する。
主な被害：Webサイトの表示遅延、サービス停止、運用コストの増加。
主な対策：レート制限、リクエストサイズの制限、タイムアウトの設定、リソース使用量の監視。
概要：システムの設計や実装の弱点を悪用され、サービスを利用しにくくされる問題です。
具体例：処理に非常に長い時間がかかるリクエストを大量に送信され、正常な利用者のアクセスが処理できなくなる。
主な被害：業務停止、利用者へのサービス提供不能、復旧費用の発生。
主な対策：負荷試験、アクセス制限、キャッシュの活用、監視体制の整備、必要に応じたDDoS対策サービスの導入。
概要：ソフトウェアやサーバーの設定が適切でなく、不要な機能や管理画面などが外部に公開されている状態です。
具体例：初期パスワードが変更されていない、不要なポートが開放されている、クラウドストレージが一般公開されている。
主な被害：不正アクセス、機密データの漏えい、サーバーの乗っ取り。
主な対策：安全な初期設定、不要なサービスの停止、アクセス制限、定期的な構成監査。
概要：既知の脆弱性が修正されているにもかかわらず、更新プログラムが適用されていない状態です。
具体例：古いOS、CMS、プラグイン、VPN機器などに既知の脆弱性が残っている。
主な被害：既知の攻撃手法による侵入、情報漏えい、マルウェア感染。
主な対策：資産管理、脆弱性情報の継続的な確認、優先順位に基づくパッチ適用、サポート終了製品の更新。
概要：自社で開発した部分ではなく、利用しているライブラリーやフレームワークなどに弱点が存在する問題です。
具体例：Webアプリケーションで使用している外部ライブラリーに重大な脆弱性が発見される。
主な被害：不正アクセス、情報漏えい、サービス停止。
主な対策：依存関係の一覧管理、脆弱性スキャン、信頼できる配布元からの更新、不要なライブラリーの削除。
概要：ソフトウェアの開発環境、配布システム、更新経路などが侵害され、悪意のあるプログラムが混入する問題です。
具体例：開発者の認証情報を窃取され、正規の配布経路を通じて不正なプログラムが配布される。
主な被害：多数の利用者や企業への被害拡大、認証情報の漏えい、システム侵害。
主な対策：開発環境のアクセス制御、多要素認証、コードレビュー、署名検証、依存関係の管理。
MITREは、公開された脆弱性情報などをもとに、危険性の高いソフトウェアの弱点をランキング形式で公表しています。2025年版では、クロスサイトスクリプティング（CWE-79）が1位、SQLインジェクション（CWE-89）が2位、クロスサイトリクエストフォージェリ（CWE-352）が3位でした。
また、認可の不備、メモリー範囲外への書き込み、パストラバーサル、解放済みメモリーの使用、コマンドインジェクションなども上位に含まれています。
詳細は、MITREの公式ページで確認できます。
| 用語 | 意味 | 具体例 |
|---|---|---|
| CWE | 脆弱性につながる弱点の種類を分類する仕組み | SQLインジェクション、アクセス制御の不備 |
| CVE | 公表された個別の脆弱性を識別する番号 | 特定製品の特定バージョンに存在する脆弱性 |
| CVSS | 脆弱性の深刻度を評価するための共通基準 | 攻撃の容易さや影響などをもとにしたスコア |
CWEは「どのような種類の弱点なのか」、CVEは「どの製品のどの脆弱性なのか」、CVSSは「その脆弱性がどの程度深刻なのか」を理解する際に役立ちます。
ITシステムの脆弱性は、Webアプリケーション、認証・アクセス制御、メモリー管理、暗号化、設定ミス、外部ソフトウェアなど、さまざまな領域に存在します。
特に、個人情報漏えいにつながりやすいアクセス制御の不備、SQLインジェクション、クロスサイトスクリプティング、機密情報の公開、未修正の既知脆弱性には注意が必要です。
脆弱性の登録件数が増えている状況では、発見された弱点を把握するだけでなく、影響範囲を確認し、危険性と悪用状況に応じて迅速に修正することが重要です。
参考資料：
生成AIの普及などにより、ソフトウェアの脆弱性が次々と発見されています。個人でも、パソコンやスマートフォン、Webサイト、メール、SNSなどを安全に利用するために、日頃からセキュリティー対策を実施することが重要です。
重要度：非常に高い
Windows、macOS、iOS、AndroidなどのOSや、ブラウザー、アプリには、発見された脆弱性を修正する更新プログラムが提供されます。更新を放置すると、既知の脆弱性を悪用した攻撃を受ける危険性があります。
重要度：非常に高い
あるWebサイトからパスワードが漏えいすると、同じパスワードを使用している別のサービスにも不正ログインされる可能性があります。
重要度：非常に高い
多要素認証は、パスワードだけでなく、認証アプリやセキュリティーキーなどを組み合わせて本人確認を行う仕組みです。パスワードが漏えいしても、不正ログインを防げる可能性が高まります。
重要度：非常に高い
攻撃者は、銀行、宅配業者、通販サイト、行政機関などを装い、偽サイトへ誘導してパスワードやクレジットカード情報を盗もうとします。
重要度：高い
ウイルスや不正なプログラムの侵入を検知・防止するため、OSに搭載されたセキュリティー機能を有効にし、必要に応じて信頼できるセキュリティーソフトを利用します。
重要度：高い
家庭のWi-Fiルーターも、設定やファームウェアが古いままだと、不正アクセスの侵入口になる可能性があります。
重要度：高い
ランサムウェアなどに感染すると、写真、文書、仕事のデータなどが暗号化され、利用できなくなる場合があります。バックアップがあれば、被害からの復旧に役立ちます。
重要度：中〜高
使用していないアプリや不要な権限を放置すると、情報漏えいや不正アクセスのリスクが高まる場合があります。
重要度：中〜高
SNSやブログなどに公開した情報は、詐欺、なりすまし、アカウント乗っ取りの準備に悪用される可能性があります。
重要度：中〜高
利用中のOS、アプリ、ネットワーク機器、Webサービスに重大な脆弱性が見つかった場合、早めに情報を確認して対処することが重要です。
ただし、すべての脆弱性情報を自分で追い続ける必要はありません。まずはOSやアプリの自動更新を有効にし、メーカーからの重要なセキュリティー通知を確認できる状態にすることが大切です。
不審なログイン通知や、身に覚えのない取引、個人情報流出の通知などを確認した場合は、次の対応を取ってください。
端末がマルウェアに感染している疑いがある場合は、その端末でパスワードを変更せず、安全な別の端末を利用してください。被害の証拠となるメールや通知なども、可能な範囲で保存しておきましょう。
個人がサイバー攻撃から身を守るために、最初に取り組みたい対策は、ソフトウェアの更新、パスワードの使い回し防止、多要素認証、フィッシング詐欺対策、バックアップの5つです。
高度な専門知識がなくても、こうした基本対策を継続することで、多くの一般的な攻撃による被害リスクを減らせます。すべてを一度に実施するのではなく、まずは自動更新と多要素認証から始め、順番に対策を進めましょう。
AIの進化によって、将来的には人間が見落としてきた数十年前のソフトウェアの欠陥が次々と発見され、長年安全だと思われていたシステムのセキュリティー評価が根本から変わる可能性があります。
UAIIとはこのサイトは、一部のコンテンツに生成AIを使用しています。
情報が古かったり、間違っていることなどによる損害の責任は負いかねますので、ご了承ください。
Copyright (C) SUZ45. All Rights Reserved.