脆弱性とは？意味と生まれる理由をわかりやすく解説

脆弱性（ぜいじゃくせい）とは、ソフトウェアや機器などにある、セキュリティ上の弱点のことです。「セキュリティホール」とも呼ばれます。攻撃者に悪用されると、不正アクセスやウイルス感染などの被害につながるおそれがあります。修正版が出たら、早めに更新することが大切です。

脆弱性の意味

IPA（情報処理推進機構）は、脆弱性を次のように説明しています。「ソフトウエア製品やウェブアプリケーション等におけるセキュリティ上の問題箇所」です。

不正アクセスやウイルスなどで、その問題の箇所が攻撃されるとします。そのとき、製品の本来の機能や性能を損なう原因となり得るもの、とされています。

IPAは、ウェブサイトの運営のしかたが不適切で、安全が保てなくなっている状態も含むとしています。たとえば、個人情報が適切な制限のもとで管理されていない場合です。

総務省も、脆弱性を「サイバーセキュリティ上の問題となる可能性がある弱点」と説明しています。

総務省によると、脆弱性はプログラムの不具合（バグ）や、設計上のミスが原因で生まれます。

また、OSやソフトウェアの欠陥だけでなく、設定のミスや管理体制の不備も脆弱性になり得るとされています。

総務省は、新しい脆弱性は次々に見つかるとも説明しています。一度更新すれば終わり、ではありません。

総務省は、脆弱性が残ったままだと、不正アクセスを受けたり、ウイルスに感染したりするおそれがあると説明しています。

総務省によると、脆弱性を利用した不正アクセスで、ホームページを書き換えられるおそれもあります。ほかのコンピューターを攻撃する踏み台にされたり、ウイルスをばらまく発信源にされたりすることもあります。

家電やカーナビなど、インターネットにつながる機器も、ソフトウェアに脆弱性があれば被害を受けるおそれがあるとされています。脆弱性が具体的な脅威（攻撃などの危険）と結びつくと、事件や事故（インシデント）が起きてしまいます。

日本では、ソフトウェア製品の脆弱性を見つけた人は、IPAに届け出ることができます。IPAが受け付け、JPCERT/CC（ジェーピーサート・コーディネーションセンター）が製品の開発元に連絡します。

開発元は、検証や対策方法（修正版など）の作成を行います。JPCERT/CCは、開発元と公表する日を調整します。そして、IPAとJPCERT/CCが対策の情報をJVN（脆弱性の情報サイト）で公表します。

脆弱性を見分けるために、CVE（シーブイイー）という世界共通の番号も使われます。番号は「CVE-年-通し番号」の形で、JPCERT/CCのように認定された団体（CNA）が割り当てます。

番号があると、メーカーやニュース、セキュリティ製品が同じ脆弱性を同じ名前で呼べるので、情報を照らし合わせやすくなります。

対策の基本は、OSやソフトウェアを更新して、最新の状態に保つことです。新しい脆弱性は次々に見つかるので、更新の情報をこまめに確かめ、できるだけ早く適用しましょう。

修正版が出る前に脆弱性が悪用される攻撃（ゼロデイ攻撃）もあります。その場合は、公表された脆弱性の内容を確かめ、危険な操作を避けるなど、修正版を適用するまで注意が必要です。

このサイトでは、米国CISAのKEVに載った脆弱性を、日本語でやさしく解説しています。KEVは、実際に悪用が確認された脆弱性の一覧です。使っている製品の名前で探して、対策の参考にしてください。