脆弱性とは？意味と、見つかってから修正されるまでの流れ

WindowsMaciPhoneAndroid更新 2026-10-31

IPAは、脆弱性（ぜいじゃくせい）を、ソフトウェア製品やウェブアプリケーションなどにおけるセキュリティ上の問題箇所だと説明しています。不正アクセスやコンピュータウイルスなどでこの箇所を攻撃されると、本来の機能や性能を損なう原因になりうるものです。開発元は更新プログラムで脆弱性を修正し、利用者はその更新を適用します。この記事は2026年10月23日時点の情報です。

要点

脆弱性とは、製品やサービスに含まれるセキュリティ上の弱点のことです。悪用されると、情報が漏えいしたり、機能を不正に使われたりします。日本では、ソフトウェア製品で見つかった脆弱性はIPAに届け出られ、JPCERT/CCが開発者と調整し、JVNで対策とともに公表されます。利用者にとっての対策は、速やかに最新版へ更新することです。

脆弱性とはどういう意味ですか

製品やサービスに含まれる、セキュリティ上の弱点です。IPAの「情報セキュリティ10大脅威知っておきたい用語や仕組み」は、脆弱性を、ある製品やサービスに含まれるセキュリティ上の弱点だとし、悪用されると製品やサービスの利用者の情報が漏えいしたり、機能を不正利用されたりすると説明しています。

IPAの届出の案内では、もう少し広い定義を使っています。ソフトウェア製品やウェブアプリケーションのセキュリティ上の問題箇所に加えて、個人情報などが適切なアクセス制御の下で管理されていないなど、ウェブサイト運営者の不適切な運用によってセキュリティが維持できなくなっている状態も含む、としています。

関連してよく出てくる言葉があります。英国のNCSCは用語集で、エクスプロイトを、脆弱性を利用して不正アクセスなどを行うためのツールの開発だと定義しています。脆弱性が弱点で、エクスプロイトはそれを使う手段です。ゼロデイは、修正やパッチがまだ公開されていない、最近見つかった脆弱性を指します。

脆弱性があること自体は、攻撃を受けたことではありません。使われうる弱点なので、使われる前に修正しよう、というのが対策の考え方です。

なぜ脆弱性は生まれるのですか

完全になくすのが難しいからです。IPAは、どんなに安全な製品やサービスを作ろうとしても、開発元が意図せずに脆弱性が入ってしまうことが多々あると書いています。発売やサービス開始の時点では気づかなかった脆弱性が後から見つかったり、技術や環境の変化で新たに表に出たりする場合もある、としています。

IPAはまた、脆弱性がよく見つかる製品が危険だとは一概に言えないとしています。広く普及した製品は脆弱性が見つかりやすい一方、提供元のサポートが手厚く頻繁に更新されているという見方もあり、あまり使われていない製品は、単にまだ見つかっていないだけの場合もある、と説明しています。

見つかった脆弱性はどう扱われますか

日本には、届け出と調整の仕組みがあります。IPAによると、2004年7月8日から、経済産業省の告示に基づく「情報セキュリティ早期警戒パートナーシップガイドライン」に沿って運用されています。告示で、脆弱性関連情報の届出の受付機関はIPA、製品開発者への連絡と公表に関わる調整機関はJPCERT/CCと定められています。

届け出の対象は、日本国内で使われているソフトウェア製品の脆弱性と、主に国内からのアクセスが想定されるウェブサイトなどで動くシステムの脆弱性です。IPAは、発見者に情報を秘密にするよう強制したり、開発者やサイト運営者に修正を強制したりはしていない、と書いています。

JVNとは何ですか

日本の脆弱性対策情報のポータルサイトです。JVNは「Japan Vulnerability Notes」の略で、日本で使用されているソフトウェアなどの脆弱性関連情報とその対策情報を提供しています。2004年7月から、JPCERT/CCとIPAが共同で運営しています。

JVNには、早期警戒パートナーシップに基づいて報告され、調整された脆弱性情報や、CERT/CCなど海外の調整機関と連携した脆弱性情報が載ります。脆弱性が確認された製品とバージョン、脆弱性の詳細や分析結果、開発者が提供する対策や関連情報へのリンクなどで、対策にはパッチだけでなく回避策が載ることもあります。パートナーシップで調整・公表されたものには「JVN#」で始まる8桁の番号が、海外の調整機関や海外の製品開発者と連携したものなどには「JVNVU#」で始まる8桁の番号が付きます。

世界共通の番号としてはCVEがあります。米国のCISAは、CVEプログラムを、サイバーセキュリティの脆弱性を特定し、名前を付け、カタログ化するための世界的に認められた仕組みだとしています。注意喚起にCVE-2026-109618のような番号が出てくるのはそのためです。番号と深刻度の数字の意味はCVSSとはで説明しています。

なぜ更新が大事なのですか

更新が、修正をあなたの端末に届ける手段だからです。IPAは、脆弱性を放置することは非常に危険で、使っている製品に脆弱性が見つかったら速やかに最新版に更新するよう書いています。IPAの「情報セキュリティ10大脅威 2026 個人編」も、対策の基本の最初にソフトウェアの更新を挙げています。

IPAは製品を選ぶときの目安も示しています。機能や価格だけでなく、脆弱性が見つかったときに更新や対策の公開をしてくれるか、サポートの手厚さやサポート期限も考えて選ぶことが大切だ、としています。

PHP2Shellは脆弱性のどんな例ですか

ここまでの流れがひととおり見られる例です。2026年10月21日、PHPプロジェクトは、認証なしでリモートコード実行を許しうる深刻な脆弱性2件、CVE-2026-109618とCVE-2026-109619を公表し、同じ日に修正版を出しました。アドバイザリによると、Linuxディストリビューションや長期サポートのベンダーには事前にパッチが渡されていました。IPAは、セキュリティ企業のWiz社がこれらの脆弱性の調査に関与したとしています。10月22日にはJPCERT/CCとIPAが注意喚起を出し、更新を呼びかけました。2026年10月23日時点で、米国のCISAは10月21日の注意喚起（10月23日改訂）で、公開した時点ではこれらの脆弱性が実環境で悪用に成功した例を観測していないとしています。詳しくはPHP2Shellの解説をご覧ください。

よくある質問

脆弱性は何と読みますか

「ぜいじゃくせい」と読みます。英語ではvulnerabilityです。IPAの「地方公共団体のための脆弱性対応ガイド」は、脆弱性を情報セキュリティ上の「弱点」「ほころび」と表現しています。

脆弱性とウイルスは同じですか

違います。脆弱性は製品の弱点で、ウイルスなどの攻撃はその弱点を突くものです。IPAの定義でも、脆弱性は不正アクセスやコンピュータウイルスなどで攻撃されることで、機能や性能を損なう原因になりうる箇所とされています。

脆弱性はすべて修正されますか

すぐに修正されるとは限りません。サポートが終わったソフトウェアには、修正が出ないこともあります。PHPでは、PHP 8.1以前はPHPプロジェクトからの更新がもうありません。どのPHPがサポートされているかはPHPは安全かで説明しています。

自分の端末に更新が来なくなったら

IPAは、脆弱性を放置することは非常に危険だとし、製品を選ぶ際にはサポートの手厚さやサポート期限も考えるよう勧めています。メーカーのサイトで、その機種にまだ更新が提供されているか確かめてください。

ウェブサイトの脆弱性を見つけたら、どこに知らせればいいですか

日本国内のサイトや製品なら、IPAが届出を受け付けています。IPAのウェブ届出フォームか電子メールで届け出ることができます。