セキュリティパッチとは？アップデートしないとどうなるかを解説

セキュリティパッチは、ソフトウェアの脆弱性（セキュリティ上の弱点）を直すために、メーカーがあとから配る修正プログラムです。アップデートしないと、脆弱性が残ったままになり、不正アクセスやウイルス感染などの被害を受けるおそれが高まります。自動更新を使い、サポートが続いている製品を使うことが基本です。

セキュリティパッチの意味

総務省は、パッチを、完成したプログラムに対して脆弱性などをなくすために後から配られる修正プログラムと説明しています。「修正パッチ」や「更新プログラム」と呼ばれることもあります。

パッチを当てることを、ふだんは「アップデート」や「更新」と呼びます。アップデートには、不具合の修正や脆弱性の対策のほか、小さな機能の追加が含まれることもあります。

ネットワーク機器や家電、カーナビゲーションなども、ソフトウェアで動いています。こうした機器にも、更新が提供されることがあります。

総務省は、脆弱性が残ったままでは、ほかの対策をしても不正アクセスなどの攻撃を防ぎきれないと説明しています。脆弱性を利用されると、ホームページを書き換えられたり、ほかのコンピューターを攻撃する踏み台にされたりするおそれもあります。

修正プログラムが公開されると、攻撃者もその情報を見られます。IPAによると、攻撃者は公表された情報をもとに、攻撃用のプログラムを作ることがあります。そして、まだ対策していないシステムを狙います（Nデイ攻撃）。

警察庁は、ランサムウェアの侵入口として、VPN機器などのまだ直していない脆弱性が悪用されていると説明しています。

業務の中心になるサーバーは、止められないなどの理由で更新が先延ばしにされがちです。総務省は、その結果、攻撃を受けて長い期間業務が止まる可能性があると注意しています。

パソコンやスマートフォンでは、修正プログラムが出ると「ソフトウェアの更新が必要です」などの通知が出ることが多くなっています。総務省は、通知が出たら速やかに更新するよう勧めています。

自動更新の機能がある場合は、有効にしておくのもよい方法です。家電などで自動更新が用意されている場合は、その機能を無効にしないよう注意しましょう。

ネットワーク機器など、更新の通知が出ない機器もあります。その場合は、定期的にメーカーのホームページを確認しましょう。

更新プログラムの配布などのサポートは、一定の期間で終わるものがあります。総務省は、サポート期間が切れたソフトウェアは、脆弱性が見つかっても修正されないおそれがあると説明しています。

たとえば Windows 10 の Home や Pro などは、2025年10月14日に Microsoft のサポートが終了しました。総務省も、この終了日を例に挙げて注意を呼びかけています。

ほかのシステムに組み込まれて動いているソフトウェアは、気づかないうちにサポートが切れていることがあります。サポート期間は提供元が前もって公表していることもあるので、終了の時期を調べ、計画的に新しい製品や版に移りましょう。

業務の都合などで、すぐに更新できない場合もあります。また、脆弱性があることだけが先に発表され、修正プログラムができるまでに時間がかかることもあります。

総務省は、修正プログラムが出るまでのあいだは、一時的な回避策でシステムを守り、修正プログラムが出たら修正の対応をするよう勧めています。回避策の具体的な方法は製品ごとに違うため、メーカーの公式情報で確かめます。

回避策は、あくまでつなぎの対策です。総務省は、更新が日常の業務に影響する場合でも、組織の幹部の判断を仰ぐなどして対応するよう呼びかけています。IPAも、パッチの適用や回避策などの対策のための予算を確保しておくことを挙げています。

まず、自分や会社が使っているソフトウェアや機器と、その版を把握しましょう。自動更新を有効にし、サポート期限が近いものがないかも確認します。

このサイトの記事は、米国CISAのKEV（実際に悪用が確認された脆弱性の一覧）に載った脆弱性を解説しています。KEVに載ったものは、すでに攻撃に使われているため、早めの更新が勧められます。

使っている製品の記事を見つけたら、記事の公式情報で修正版の番号や回避策を確かめ、早めにアップデートしましょう。