脆弱性

脆弱性は、パソコンやスマートフォンの基本ソフト（OS）、アプリ、機器を動かすプログラムの不具合や設計上の誤りから生じる、安全上の欠陥です。セキュリティホールとも呼ばれます。パソコンやスマートフォンだけでなく、インターネットにつなぐためのルーターなどの機器や、家電の中のプログラムにも見つかります。 [1] [2]

脆弱性が見つかると、多くの場合は作った会社が修正した更新プログラム（パッチ）を配ります。修正しても新しい脆弱性は次々に見つかるため、更新は一度では終わりません。 [1]

公表された脆弱性の深刻さは、世界共通の採点方法CVSSによる0から10.0の点数と、緊急・重要・警告・注意などの段階で示されます。 [3]

• 脆弱性が残ったままの機器は、不正なアクセスやマルウェアの感染に使われる。 [1]
• インターネットに公開しているサーバーでは、ホームページを書き換えられたり、攻撃者が身元を隠してほかを攻撃するための中継地点に使われたりすることもある。 [1]
• 自宅や出先から会社のコンピューターにつなぐための機器（VPN機器）などの脆弱性は、ランサムウェア攻撃の主な侵入口になっている。 [4]
• 作った会社が修正を配るのをやめた（サポートが終わった）ソフトウェアや機器は、脆弱性が見つかっても直らない。 [2]

• 修正版に更新する。更新していない機器が残っていると、同じ経路から再び侵入されるおそれがある。 [4]
• 更新の前に悪用されていた場合に備えて、機器を通じて使われたアカウントのパスワードを変更する。更新しても、すでに盗まれたIDやパスワードでは接続されてしまう。 [4] [6]
• 身に覚えのないアカウントや不審なログインの記録がないか、機器の先のシステムに、攻撃者が残した隠れた入り口（バックドア）やマルウェアがないかを確かめる。 [6]

脆弱性は、国内の脆弱性情報サイトJVNや世界共通の番号CVE、作った会社が公表した後に限り、製品、バージョン、深刻さ、修正方法を載せます。攻撃の方法や、脆弱性のある機器の一覧は載せません。脆弱性の公表だけでは、特定の組織が被害を受けた根拠にはなりません。

Webサイトやアプリの脆弱性が悪用された事例には、攻撃の手口「Web脆弱性の悪用」を付けています。脆弱性の公表を受けて被害を防ぐためにサービスを止めた組織は、「予防的に停止」として記録します。

予防的な停止と深刻度の関係は使い方の「深刻度と影響度」にあります。