企業を脅かす脆弱性とは？知っておきたいリスクと対策の基本

企業が利用するOSやソフトウェア、Webサイト、ネットワーク機器などには、脆弱性と呼ばれるセキュリティ上の弱点が見つかることがあります。脆弱性を放置すると、不正アクセスや情報漏えい、マルウェア感染、業務停止などにつながるおそれがあるため、企業は自社に関係する脆弱性情報を確認し、優先順位をつけて対応することが重要です。

本記事では、そもそも脆弱性とは何か、放置するとどのようなリスクがあるのか、必要な対策を詳しく解説します。

1. 脆弱性とは？企業のセキュリティ上の弱点を指す言葉

脆弱性（ぜいじゃくせい）とは、OSやソフトウェア、Webサイト、ネットワーク機器、業務端末などに存在するセキュリティ上の弱点のことです。対策せずに放置すると攻撃者にそこを突かれ、不正アクセスや情報漏えい、マルウェア感染などを招くおそれがあります。

なお、セキュリティ分野では「脅威」という言葉も使われます。脅威は、マルウェアや不正アクセスなど、情報資産に損害を与える可能性のある要因です。脆弱性は、そうした脅威に悪用される可能性がある弱点です。

1-1. セキュリティホールやバグとの違い

脆弱性は、セキュリティホールと同義で使われることが多い用語です。IPA（情報処理推進機構）も、脆弱性を「ソフトウェア等におけるセキュリティ上の弱点のことで、セキュリティホールとも呼ばれる」と定義しています。

一方で、両者を使い分ける場合もあります。その場合、セキュリティホールはプログラムの設計ミスやコーディングミスといったソフトウェア上の欠陥を指すことが多いのに対し、脆弱性はより広い概念として使われる用語です。

プログラムが設計書通りに実装されている場合でも、外部からの不正なアクセスに利用される可能性のある箇所は、セキュリティ上の脆弱性として扱われます。設計段階で意図された機能であっても、攻撃者によって本来想定していなかった方法で利用され、システムに害を及ぼす可能性がある場合、これも脆弱性として認識されます。

2. 脆弱性につながる主な原因

脆弱性につながる主な原因としては、設計・実装時のミス、設定ミスや権限管理の不備の他、アップデート未適用・サポート切れ製品の利用、IT資産の把握不足などが挙げられます。主な原因を把握して、脆弱性につながりうる課題を見つける参考にしてください。

2-1. 設計・実装時のミス

脆弱性が発生する原因の一つが、システム設計時の予測不足やプログラム上の設計ミスです。例えば、システムを設計するときに、想定外の入力に対する予測が不十分な場合があります。

OSやアプリケーションの開発工程においては、外部から受け取る情報に対する検証作業が実施されています。しかし、あらゆる入力パターンや攻撃手法を開発段階で網羅することは難しく、また攻撃者が新しい攻撃手法を生み出すペースも速いため、運用中に想定していなかった脆弱性が発見されるケースは珍しくありません。

2-2. 設定ミスや権限管理の不備

システムやアプリケーションの設計・実装が適切であっても、運用段階での設定ミスや権限管理の不備が脆弱性を生むケースは少なくありません。

例えば、Webアプリケーションでアクセス制御が適切に実装されていない場合、一般ユーザーが管理者権限を不正に取得する「権限昇格」につながるおそれがあります。また、外部から入力されるファイルパスの検証が不十分な場合、本来公開を意図していないファイルにアクセスされる「パストラバーサル（ディレクトリ・トラバーサル）」といった攻撃が成立するリスクが高まります。

セッション管理においても、セッションIDの生成規則が推測可能な実装になっていたり、URLにセッションIDを含めるような設計になっていたりすると、なりすましによる不正アクセスにつながるおそれがあるでしょう。

2-3. アップデート未適用・サポート切れ製品の利用

OSやソフトウェアを古いバージョンのまま使い続けることも、脆弱性を生む大きな原因の一つです。開発元から提供されるセキュリティパッチ（修正プログラム）を適用しないままでいると、既知の脆弱性が放置された状態となり、攻撃者に悪用されるリスクが高まります。

なかでも注意したいのが、サポート期間が終了した製品を業務で利用し続けるケースです。サポートが終了したソフトウェアは、新たな脆弱性が発見されても、原則として修正プログラムが提供されません。そのため、他のセキュリティ対策を講じていても、脆弱性を突いた不正アクセスなどを防ぎきれなくなるおそれがあります。

また、ソフトウェアの中には他のシステムやアプリケーションに組み込まれて動作しているものもあり、気づかないうちにサポート期間が切れているケースも少なくありません。

2-4. IT資産の把握不足

IT資産の把握不足も、脆弱性を生む大きな原因の一つです。

社内で利用しているパソコンやソフトウェア、ルーター・VPN機器などのネットワーク機器の全体像を正確に把握できていなければ、新たな脆弱性情報が公開されたとしても、自社のどの端末やシステムが影響を受けるのかを判断できません。その結果、本来対処すべき脆弱性が見過ごされ、対応漏れにつながってしまいます。

3. 脆弱性を放置するとどうなる？企業にもたらす主なリスク

脆弱性の放置は、企業にとってさまざまなリスクを引き起こします。不正アクセスにより社内ネットワーク・システムに侵入されたり、顧客情報・機密情報の漏えいにつながったりするおそれがあるでしょう。また、マルウェア感染やランサムウェア被害、取引先・顧客への二次被害につながるおそれもあります。

企業は脆弱性の放置によるリスクを把握したうえで、適切な対策を講じることが求められます。

3-1. 不正アクセスによる社内ネットワーク・システムへの侵入

脆弱性が放置された状態では、攻撃者がその弱点を突いて社内ネットワークやシステムへ直接侵入するリスクが高まります。

侵入されると、社内ファイルサーバーや顧客情報、認証情報などが優先的に狙われる傾向があるだけでなく、攻撃者はそこを足がかりに、より高い権限を奪い取ったり、他の端末・サーバーへ侵入範囲を広げる「ラテラルムーブメント」を仕掛けたりします。発覚までの間に社内の複数システムへアクセスが及んでいた場合、攻撃者がすでに撤退していても、どこまで侵入され、何を閲覧・持ち出されたのかを正確に特定するのは容易ではありません。

そのため、侵入が判明した段階では、影響が疑われるシステムを広くネットワークから切り離したうえで、フォレンジック調査（電子機器に残るログやデータを収集・解析し、インシデントの原因や被害状況を解明する鑑識調査）による侵入経路・影響範囲の特定、認証情報の全面リセット、システムの再構築といった対応が必要です。対象範囲が広いほど通常運用に戻るまでの期間は長期化し、その間の業務停止や、調査・復旧にかかる人的・金銭的コストも増大します。

また、攻撃者が発覚を避けるためにバックドア（再侵入用の裏口）を仕掛けていた場合、表面的な駆除だけでは根本的な解決にならず、同じ経路から再侵入を許してしまうおそれもあります。

3-2. 顧客情報・機密情報の漏えい

Webサイトや業務システムに脆弱性が存在すると、攻撃者にその弱点を悪用され、顧客情報や取引先情報、営業資料、設計情報といった重要なデータが外部に流出するおそれがあります。

例えば、WebサイトにSQLインジェクションの脆弱性がある場合、入力フォームなどから不正なSQL文を送り込まれることで、データベース内の個人情報が盗み出されるおそれがあります。また、クロスサイト・スクリプティング（XSS）を悪用されると、利用者のブラウザ上で不正なスクリプトが実行され、認証情報の窃取や不正なページへの誘導につながるおそれがあるでしょう。

情報漏えいが発生すると、企業の社会的信用は大きく低下し、顧客離れや取引停止につながりかねません。漏えいの規模や内容によっては高額な損害賠償が発生する可能性もあります。

3-3. マルウェア感染やランサムウェア被害

脆弱性を悪用されると、攻撃者が端末やサーバーにマルウェアを侵入させる足がかりを得てしまいます。OSやVPN機器、業務アプリケーションなどの脆弱性が放置されていれば、そこを突いて不正なプログラムが送り込まれ、システム内部で活動を開始します。

なかでも深刻なのが、ランサムウェアによる被害です。感染すると、多くの場合、業務データやシステムが暗号化され、復旧と引き換えに身代金を要求されます。

警察庁が被害組織へのアンケート調査をもとに集計した令和7年のデータによると、2025年に確認されたランサムウェア感染経路は、以下のとおりです。

ランサムウェアの感染経路として最も多いのが、VPN機器からの侵入です。警察庁の調査では、その多くが未修正の脆弱性に加え、漏えいした認証情報や推測されやすいパスワード、アクセス制御の設定不備を突かれたものであると報告されています。脆弱性対策だけでなく、認証情報の管理や設定の見直しもあわせて行う必要があります。

近年では、窃取した情報の公開をちらつかせる「二重脅迫（二重恐喝）」や、暗号化を行わずデータの暴露のみで金銭を要求する手口など、攻撃手法も多様化してきました。

ランサムウェア被害が発生すると、業務停止による売上損失に加え、システム復旧や原因調査などのコストが発生します。

マルウェアの種類や感染経路、ランサムウェアの具体的な被害事例については、以下の記事もあわせてご覧ください。

マルウェアの種類や感染経路を確認する
ランサムウェアの被害事例を確認する

3-4. Webサイトやデータの改ざん

Webサイトやコンテンツ管理システム（CMS）に脆弱性があると、攻撃者に侵入され、ページやデータを改ざんされるおそれがあります。

改ざんと聞くと、ページの見た目が書き換えられる被害を想像するかもしれませんが、実際には見た目の変化がない改ざんも少なくありません。例えば、ページ内に不正なコード（スクリプト）をひそかに埋め込まれると、Webサイトを閲覧しただけの利用者がマルウェアに感染させられたり、フィッシングサイトなどの不正なWebサイトへ誘導されたりするおそれがあります。この場合、Webサイトの見た目は普段と変わらないため、企業側が被害に気づくのが遅れやすい点も特徴です。

自社のWebサイトが改ざんされると、顧客や取引先を攻撃にさらす「加害の入口」となってしまい、企業ブランドや取引先からの信頼を大きく損なうおそれがあります。また、原因調査や復旧のためにWebサイトを一時的に公開停止せざるを得なくなれば、営業機会の損失や問い合わせ対応の負荷といった影響も生じます。

改ざんの原因として一般的に挙げられるのが、CMSやプラグインの脆弱性の放置に加え、管理画面の認証情報の窃取などです。

3-5. 取引先・顧客への二次被害

脆弱性を放置した場合のリスクは、自社内の被害にとどまりません。自社のシステムやネットワーク機器が攻撃者に乗っ取られると、そこを踏み台として取引先や顧客へのサイバー攻撃に悪用されることがあります。

自社のサーバーや機器がボットネット（攻撃者に遠隔操作される複数の機器で構成されたネットワーク）に組み込まれてDDoS攻撃（ディードス攻撃：複数のコンピューターから標的のWebサイトやサーバーへ一斉に過剰なアクセスやデータを送りつけ、システムをダウンさせるサイバー攻撃）の踏み台として悪用されたり、自社経由のメールやファイル共有を通じて取引先・顧客のシステムにマルウェア感染が広がったりするケースが報告されています。

こうした事態が発生すると、自社はサイバー攻撃の被害者でありながら、取引先や顧客から被害拡大の原因となった企業として見られてしまうおそれがあるでしょう。その結果、損害賠償の請求や、取引停止、顧客離れにつながることもあります。

4. 脆弱性情報を確認する方法

脆弱性を放置しないためには、最新情報を定期的に収集していくことが重要です。確認方法としては、ベンダーのセキュリティ情報や、JVN・JVN iPediaなどの脆弱性情報データベース、国際的に使われているCVE・CWE・CVSSが挙げられます。

4-1. ベンダーのセキュリティ情報を確認する

脆弱性情報を収集する方法としては、自社で利用しているソフトウェアや機器のベンダーが公開するセキュリティ情報を定期的に確認することが挙げられます。主要なベンダーは、発見された脆弱性の内容や影響範囲、修正パッチの提供状況などをセキュリティアドバイザリ（セキュリティの脆弱性や脅威に関する公式な注意喚起や報告書）として公表しています。

これらの情報は、ベンダーの公式Webサイトやメール通知サービスを通じて、すぐに受け取ることが可能です。定期的に公開されるものは、確認のスケジュールをあらかじめ決めておくのも一つの方法です。

4-2. JVN・JVN iPediaなどの脆弱性情報を確認する

JVNやJVN iPediaなどの脆弱性情報データベースを確認することも有効です。

JVN（Japan Vulnerability Notes）は、JPCERTコーディネーションセンター（JPCERT/CC）とIPAが共同で運営する脆弱性対策情報ポータルサイトで、「情報セキュリティ早期警戒パートナーシップ」という仕組みを通じて寄せられ、関係者間で調整が完了した脆弱性に関する情報の他、CERT/CCをはじめとする海外の連携組織から提供された脆弱性情報についても、適宜公開しています。

また、JVN iPediaは、JVNに掲載される脆弱性対策情報に加え、国内外問わず公開された脆弱性対策情報を広く公開対象とし、データベースとして蓄積しています。

JVN（Japan Vulnerability Notes）
JVN iPedia

4-3. CVE・CWE・CVSSを参考にする

国際的に使われている3つの基準を押さえておくと、脆弱性情報をより効率良く収集し、評価につなげられます。

CVEは、米国政府の支援のもと非営利団体MITRE（マイター）が中心となって運営しており、「CVE-2024-XXXXX」のように「CVE-西暦-連番」の形式で脆弱性ごとに固有の番号が割り振られます。この番号を使うと、異なるベンダーや情報源の間でも、同じ脆弱性について正確に情報を共有できます。

CWEは、SQLインジェクションやバッファオーバーフローといった脆弱性の種類をCWE識別子で分類したもので、脆弱性の原因を把握し再発防止に役立てるための共通基準です。

CVSSは、脆弱性の深刻度を0.0〜10.0のスコアで示す指標で、米国の非営利団体FIRSTが仕様を管理しています。脆弱性そのものの特性を評価する「基本評価基準」に加え、攻撃コードの出回り状況や自社システム環境における影響といった観点からスコアを補正する仕組みが用意されています（バージョンにより評価基準の構成や名称は異なります）。ただし、CVSSのスコアだけで対応の優先度を決めるのではなく、自社の環境における影響度もあわせて判断することが大切です。

5. 企業に求められる脆弱性への対策

脆弱性対策では、情報を集めるだけでなく、自社への影響を判断し、優先順位をつけて対応することが重要です。企業に求められる対策をステップ形式で解説します。

5-1. 自社のIT資産を把握する

脆弱性対策の第一歩は、自社のIT資産を漏れなく棚卸しすることです。パソコン、サーバー、ネットワーク機器、ソフトウェア、クラウドサービスなど、すべてのIT資産について以下の情報を一覧化しましょう。

資産情報が正確でなければ、脆弱性情報が公開されても自社への影響範囲を判断できず、対応の遅れや対策漏れにつながります。IT資産の把握は、脆弱性情報の絞り込みや優先順位付けなど後続ステップすべての土台となるため、まずここを確実に整備することが重要です。

5-2. 関係する脆弱性情報を絞り込む

IT資産の棚卸しができたら、次は自社に関係する脆弱性情報の絞り込みです。脆弱性情報は日々大量に公開されており、そのすべてを追いかけて対応するのは現実的ではありません。自社で利用している製品やサービスに関係する情報に絞って確認することが、効率的な脆弱性対策のポイントとなります。

情報源としては、第4章で紹介したベンダーのセキュリティアドバイザリや、JVN・JVN iPediaなどの脆弱性情報データベースを活用します。整理したIT資産の一覧をもとに、製品名やベンダー名、CVE番号などを手がかりに検索し、自社の利用製品に該当する情報かどうかを確認しましょう。

絞り込みの際に確認したいのは、以下の3点です。

例えば、対象製品が一致していても、影響を受けるのは特定のバージョンのみで、自社の利用環境には該当しないケースもあります。逆に、直接利用していないソフトウェアであっても、業務システムやアプリケーションに部品として組み込まれている場合は影響を受けるおそれがあるため、注意が必要です。

こうした確認を日常的な運用に組み込み、「自社に関係する情報だけが手元に集まる」状態を作ると、次のステップである優先順位付けの精度も高まります。

5-3. 深刻度と業務影響から優先順位を決める

自社環境に該当する情報を絞り込んだら、CVSSなどの深刻度指標に加え、影響を受けるシステムの重要度や業務への影響を踏まえて、対応の優先順位を決めることが重要です。

例えば、CVSSスコアが同程度であっても、インターネットに公開しているWebサーバーに関わる脆弱性と、社内の閉じた環境でのみ使用しているツールの脆弱性では、対応の緊急度は大きく異なります。公開サーバーや基幹システムなど、事業継続に直結する資産に関係する場合は、優先度を引き上げる必要があります。

また深刻度に加えて、「影響を受ける端末やシステム数はどれくらいあるのか」「業務停止の際に売上や顧客対応にはどのような影響があるのか」などを加味すると、より実態に即した判断が可能です。

これらを総合的に評価し、「今すぐ対応すべきもの」「計画的に対応するもの」「様子を見てよいもの」の3段階程度に分類すると、限られたリソースの中でも効果的にリスクを低減できるでしょう。

あわせて、その脆弱性が実際の攻撃で悪用されているかどうかも重要な判断材料です。JPCERT/CCやIPAの注意喚起、米CISA（Cybersecurity and Infrastructure Security Agency）の「悪用が確認された脆弱性カタログ（KEV）」などで悪用状況を確認し、悪用実績のある脆弱性は優先度を引き上げる必要があります。

5-4. パッチ適用・設定変更・一時的な回避策を実施する

優先順位が決まったら、具体的な対応を実施します。対応方法は大きく3つに分けられます。

パッチ適用が最も確実な対策ですが、業務システムへの影響やサービス停止のリスクを考慮し、適用タイミングを慎重に判断する必要があります。

即時対応が求められるのは、外部から認証なしでアクセス可能で、すでに攻撃コードが公開されているようなケースです。一方、内部ネットワーク限定の利用であったり、一時的な設定変更でリスクを低減できる場合は、検証を行ったうえで計画的に適用する判断も現実的です。

パッチ適用後にシステムが正常に動作しない場合に備え、切り戻し（ロールバック）の手順もあらかじめ準備しておきましょう。

5-5. 対応後も継続的に確認する

パッチ適用や設定変更を実施した後は、対応が確実に反映されているかを確認します。適用したつもりでも、再起動の未実施や対象端末の見落としによって、脆弱性が残る場合があります。

対応後は、以下の3点を意識して確認を進めましょう。

パッチ適用後の動作確認：システムが正常に稼働しているか、パッチが正しく反映されているかを検証する
未対応端末・例外対応の確認：適用から漏れた端末や、業務都合で見送った対応が残っていないかを洗い出す
新たな脆弱性情報の継続監視：CVEやベンダーアドバイザリなどを定期的にチェックする

未対応端末や例外対応は時間の経過とともに管理が曖昧になりやすいため、対応状況を台帳やツールで記録し、定期的に棚卸しすることが大切です。

6. 脆弱性対策を継続するためのチェックポイント

脆弱性対策は一度実施して終わりではなく、継続的に取り組むことが重要です。日々新たな脆弱性が発見されるなかで、対策が抜け漏れなく行われているかを定期的に確認する仕組みが求められます。

以下のチェック表を活用し、自社の対策状況を点検してみてください。

これらの項目を定期的に見直すと、対応の抜け漏れを防ぎ、組織全体のセキュリティレベルを維持することが可能です。

7. 脆弱性を把握し、継続的なセキュリティ対策につなげよう

脆弱性は、企業が利用するOS、ソフトウェア、Webサイト、ネットワーク機器、業務用パソコンなど、さまざまなIT資産に存在し得ます。すべての脆弱性を完全になくすことは難しいため、自社のIT資産を把握し、関連する脆弱性情報を確認しながら優先順位をつけて対応することが重要です。

また、脆弱性対策は一度実施して終わりではありません。端末管理やエンドポイント保護、セキュリティ運用を継続的に見直し、組織全体で対策を維持していく必要があります。

「HP Wolf Pro Security」は、最新のマルウェア対策技術をはじめ、フィッシングメールからの防御、さらに仮想環境を活用した脅威の隔離機能など、多層的な防御を実現するエンドポイント保護ソリューションです。セキュリティ業務にかかるIT担当者の負担を軽減し、社員の作業効率を損なうことなく、安全面を整えられるでしょう。

詳しくは、以下のページをご覧ください。

HP Wolf Pro Securityはこちら

※このコンテンツには日本HPの公式見解を示さないものが一部含まれます。また、日本HPのサポート範囲に含まれない内容や、日本HPが推奨する使い方ではないケースが含まれている可能性があります。また、コンテンツ中の固有名詞は、一般に各社の商標または登録商標ですが、必ずしも「™」や「®」といった商標表示が付記されていません。