OWASP Top 10 2025年版を
日本の現場の言葉で読む
2021年版から何が変わったのか。IPAの定番資料とどこがズレるのか。
そして「XSSはどこへ行ったのか」に、この記事は答えます。
💡 この記事を3行でいうと
- OWASP Top 10 の 2025年版は、2021年版から2つのカテゴリが新設（ソフトウェアサプライチェーン／例外的な状況への対応）され、SSRFは消滅ではなくA01に吸収されました。
- 公式の日本語版は、2026年7月12日から全文が読めます。ただしOWASPのプロジェクト紹介ページは今も「翻訳作業中」と表示されたままで、この事実はまだほとんど知られていません。
- だからこの記事は「翻訳」ではなく「日本の座標に置き直すこと」に集中します。IPA資料とのズレ、日本の届出統計との食い違い、そして実際に手を動かせる場所への案内です。
🚨 速報：公式日本語版は、もう読めます
2026年7月12日OWASP公式リポジトリで日本語訳が有効化されました（Pull Request #956「Activate Japanese Translation」）。序文からA01〜A10、Next Stepsまで全12ページの本文が日本語で公開されています。カテゴリ名だけの部分訳ではありません。
矛盾ところが、OWASPのプロジェクト紹介ページ（www-project-top-ten）は2026年7月24日時点でも「Translations in progress – check back soon!（翻訳作業中）」と表示されたままです。つまり「日本語版はまだない」と書かれた案内を見て引き返した人が、実際には読める日本語版に気づいていない状態が続いています。
本記事は、この状況を前提に書かれています。公式日本語版を読むべき人には、遠慮なく公式へ送ります。そのうえで、公式を読んでも埋まらない部分だけをここで扱います。
📋 目次
📋 30秒でつかむ：10カテゴリ一覧
まず全体像を。カードをタップすると「中に入る代表的な脆弱性」が開きます。
いちばん大事な前提：これは「脆弱性10個の名前」ではありません
OWASP Top 10 はリスクの「カテゴリ」のリストです。カテゴリは棚、個々の脆弱性は棚に並ぶ本にあたります。2025年版では248個のCWE（脆弱性の分類番号）が10個の棚に振り分けられています。「A05 インジェクション」という1つの脆弱性があるのではなく、SQLインジェクションもXSSもOSコマンドインジェクションも、まとめてA05という棚に入っている、という構造です。
※ 日本語のカテゴリ名は、OWASP公式日本語版（2026年7月12日公開）の訳語に準拠しています。
🔍 その脆弱性、どの棚に入る？
ふつうの解説はA01から順に説明します。でも実際の疑問は逆向きのはずです。
「XSSって2025年版ではどこ？」「SSRFは消えたって本当？」「ハードコードされたパスワードは暗号の話？認証の話？」——こういう脆弱性の名前から引く使い方こそ、現場で必要になります。下のチップを押してみてください。答えと、なぜそこに入るのかが出ます。
🔍 逆引きセレクタ：脆弱性名 → カテゴリ
気になるものを押してください。所属カテゴリと理由が表示されます。意外な場所に入っているものが4つ混ざっています。
↑ 上のチップを押すと、ここに答えが出ます。
確認した項目：0 / 28
この分類は「公式のCWEマッピング」に基づいています
各カテゴリのページには「List of Mapped CWEs（対応するCWE一覧）」が公開されており、本記事の帰属はすべてそれを直接参照して確認したものです。推測は含めていません。ただし1つの脆弱性が複数の見方を持つことはあり、公式マッピングが唯一の正解というわけでもありません。
⚠ 先に4つの誤解をつぶす
ここを誤解したまま10カテゴリを読むと、誤解が10回強化されます。順番が大事です。
🗂 誤解1：カテゴリと脆弱性は同じものではない（入れ子構造）
誤解2：SSRFはTop 10から消えた → いいえ、A01の中にいます
2021年版でSSRFは単独のA10でした。2025年版では単独カテゴリではなくなりましたが、CWE-918としてA01「アクセス制御の不備」のマッピング一覧に明記されています。格下げでも軽視でもなく、「他人の権限で本来アクセスできない先へアクセスさせる」という本質でアクセス制御に統合された、という整理です。
誤解3：XSSがランクダウンした → XSSは動いていません
XSS（CWE-79）は2021年版でも2025年版でもインジェクションの中にいます。動いたのは「インジェクション」という棚そのものの順位（A03 → A05）であって、XSSが安全になったわけではありません。実際、後で見るように日本国内の脆弱性届出ではXSSが今も最多です。
🔄 誤解4への準備：2021年版 → 2025年版で何が起きたか
もうひとつ、日本語で読む人だけがぶつかる問題があります。2021年版の日本語訳と2025年版の日本語訳で、訳語そのものが変わっているのです。社内の研修資料や過去のブログを参照すると用語が噛み合わないので、対照表を置いておきます。
🔤 日本語訳語の変更点（2021年版 → 2025年版）
| 英語 | 2021年版の公式訳 | 2025年版の公式訳 |
|---|---|---|
| Cryptographic Failures | 暗号化の失敗 | 暗号化の不備 |
| Insecure Design | 安全が確認されない不安な設計 | 安全性を欠いた設計 |
| Authentication Failures | 識別と認証の失敗 | 認証の不備 |
| Security Misconfiguration | セキュリティの設定ミス | セキュリティ設定の不備 |
| Integrity Failures | 整合性の不具合 | 完全性の不備 |
| Logging Failures | ログとモニタリングの失敗 | ログとアラートの不備 |
※ 「失敗（Failures）」を一律「不備」に寄せる方針で統一されています。OWASP Japanの翻訳リポジトリには、2026年1月に用語統一を行った記録が残っています。
📊 順位は危険度ではない（データで見る）
公式が出している数字を並べ替えると、順位表とはまったく違う顔が出てきます。
A01が1位でA10が10位。だからA10は放っておいていい——という読み方は、公式の意図と正反対です。順位は「どれだけ多く見つかったか（発生率）」を軸に決まっており、「悪用されやすさ」や「やられたときの被害の大きさ」は別の数字として公開されています。下のボタンで並べ替えてみてください。
📊 並べ替えて確かめる：10カテゴリのデータ
指標を切り替えると、順番が変わります。公式の各カテゴリページに掲載されている数値です。
いちばん驚くのは A03 サプライチェーンです
A03は紐づくCVEがわずか11件。数だけ見れば最も小さいカテゴリです。ところが悪用スコア8.17・影響スコア5.23はどちらも全10カテゴリ中トップ。つまり「めったに指摘されないが、起きたら最悪」という性質です。SolarWinds、Bybit、Shai-Hulud——公式が挙げる事例の顔ぶれを見れば納得できます。順位表だけを眺めていたら絶対に見えない情報です。
⚙ 10個はどうやって選ばれたのか
選定プロセスを知ると、「なぜAIの話がTop 10に入らなかったのか」まで一本でつながります。
🔽 2025年版の選定プロセス
ここが分かると、後半のX03の話が一気に腑に落ちます。データ由来の8枠は「すでにCVEやCWEとして記録が積み上がっているもの」しか入れません。新しすぎる問題は、記録が足りないという理由だけで圏外になります。それを補うのが投票の2枠ですが、それでも2つしかありません。
細かい話：公式ドキュメントの中に数字の食い違いがあります
序文には「10カテゴリに含まれるCWEは248個」「最少はA03とA09の5個」と書かれています。ところがA03のページを実際に開くと、マッピングされたCWEは6個掲載されています（CWE-447／1035／1104／1329／1357／1395）。全カテゴリのページ掲載値を単純に合計すると249個になり、序文の248と1つ合いません。本記事は序文の248を採用しつつ、この差異をそのままお伝えしておきます。公式資料も人が作っている、という当たり前の事実の記録として。
📖 A01〜A10 全カテゴリ解説
各章の最後に1問クイズがあります。正解すると上部にスタンプがたまります。
読み方のコツ：10章すべてを一度に読まなくていい
各章は「一言 → 何が起きるか → 日本の身近な例 → 中に入る代表的な脆弱性 → 対策 → もっと学ぶ」の同じ順番で並んでいます。気になるカテゴリだけ拾い読みしても成立します。数値（悪用スコア・影響スコア）はいずれも10点満点の指標です。
A01：アクセス制御の不備 Broken Access Control ／ 1位
一言でいうと：「他人の部屋の鍵が、自分の鍵で開いてしまう」。本来は見えない・触れないはずのデータや機能に、権限のない人が到達できてしまう問題です。
何が起きるか：URLのIDを1つ書き換えたら他人の注文履歴が見えた（IDOR）、管理画面のURLを直接打ったら入れた、APIが権限チェックを忘れていた——といった形で現れます。2025年版で堂々の1位、紐づくCWEは40個で全カテゴリ最多。2021年版で単独カテゴリだったSSRF（CWE-918）とCSRF（CWE-352）も、この棚に入りました。
日本の身近な例：会員制サイトでマイページのURL末尾の数字を変えると別会員の情報が表示される、という不具合は国内でもたびたび報告されています。
中に入る代表的な脆弱性：IDOR（安全でない直接オブジェクト参照）、権限昇格、パストラバーサル、SSRF、CSRF、機密情報の露出（CWE-200番台）。
対策：権限チェックは必ずサーバー側で、かつ「拒否をデフォルト」に。オブジェクト参照は推測できないIDにするか、必ず所有者を照合する。
Q. 「URLの数字を変えたら他人の予約情報が見えた」——これはどのカテゴリ？
A02：セキュリティ設定の不備 Security Misconfiguration ／ 2位
一言でいうと：「鍵は立派なのに、かけ忘れている」。ソフトウェアそのものではなく、設定の甘さが穴になります。
何が起きるか：初期パスワードのまま、デバッグ機能が本番で有効、詳細なエラー画面が丸見え、クラウドストレージが公開設定、Cookieに Secure / HttpOnly 属性が付いていない——など。2021年版は5位でしたが2025年版で2位へ急上昇。公式は「テストしたアプリの実に大多数が何らかの設定不備を抱えていた」と述べており、クラウドの複雑化が背景にあります。最大発生率は27.70%で全カテゴリ最大です。
日本の身近な例：2020年末に日本の複数企業で起きたクラウドサービスの設定不備による情報公開事案は、まさにこのカテゴリ。NISC（内閣サイバーセキュリティセンター）が注意喚起を出しました。
中に入る代表的な脆弱性：設定（CWE-16）、設定ファイル内のパスワード、Secure属性のないCookie（CWE-614）、HttpOnlyのないCookie（CWE-1004）、環境変数からの情報露出、有効なデバッグコード。
対策：環境ごとに設定を固め、不要機能は無効化。「デフォルトのまま本番へ」を禁止し、設定を自動チェックの対象にする。
Q. 「本番サーバーで詳細なエラー画面（スタックトレース）が誰にでも見える」——どのカテゴリ？
A03：ソフトウェアサプライチェーンの不備 ★新設 ／ 3位
一言でいうと：「自分は何も間違えていないのに、使っている部品が汚染されていた」。2021年版の「脆弱で古くなったコンポーネント」を大きく拡張した、2025年版の目玉カテゴリです。
何が起きるか：依存パッケージ、ビルド環境、CI/CD、配布経路——ソフトウェアが出来上がるまでの「経路」のどこかが侵害されます。紐づくCVEはわずか11件と最小なのに、悪用スコア8.17・影響スコア5.23はどちらも全10カテゴリ中トップ。「めったに指摘されないが、起きたら最悪」を体現するカテゴリです。
公式が挙げる実例：SolarWinds（信頼されたベンダーが侵害され、アップデート経由で約18,000組織に波及）、Bybit（ウォレットソフト経由で約15億ドルの窃取）、Shai-Hulud（npmで初めて成功した自己増殖型ワーム、2025年）。日本でもXZ Utilsのバックドア（CVE-2024-3094、CVSS 10.0）についてJPCERT/CCが注意喚起を出しました。
中に入る代表的な脆弱性：メンテナンスされていないサードパーティ製部品の使用（CWE-1104）、信頼性の不十分な部品への依存（CWE-1357）、脆弱な第三者依存（CWE-1395）ほか計6個。
対策：SBOM（ソフトウェア部品表）で「何を使っているか」を把握し、依存の出所・署名・更新状況を検証する。パッケージ追加は人間が承認する。
Q. A03について正しいのは？
A04：暗号化の不備 Cryptographic Failures ／ 4位
一言でいうと：「金庫の使い方を間違えている」。暗号を使っていない、または使い方が弱い問題です。2021年版の「暗号化の失敗」から訳語も変わりました。
何が起きるか：通信を平文で流す、パスワードを弱いハッシュで保存する、古い暗号アルゴリズムを使う、鍵をソースコードに直書きする——など。紐づくCWEは32個と多め。
日本の身近な例：ログイン情報をHTTPS化せず送信していた、パスワードをMD5など弱い方式で保存していた、といった指摘は診断でよく挙がります。
中に入る代表的な脆弱性：平文での機密情報送信（CWE-319）、危殆化した暗号アルゴリズムの使用（CWE-327）、計算量が不十分なパスワードハッシュ（CWE-916）、ハードコードされた暗号鍵。
対策：通信は必ずTLSで暗号化。パスワードは bcrypt / Argon2 など計算コストの高い方式で。鍵はコードに埋め込まず、鍵管理の仕組みで扱う。将来を見据えるなら耐量子暗号（PQC）への移行も視野に。
Q. 「パスワードをMD5で保存していた」——どのカテゴリ？
A05：インジェクション Injection ／ 5位
一言でいうと：「命令とデータの境界が破られる」。入力に紛れ込ませた命令を、システムがうっかり実行してしまう問題です。2021年版では3位でした。
何が起きるか：SQLインジェクション、XSS（クロスサイトスクリプティング）、OSコマンドインジェクション、コードインジェクションなどがすべてこの棚に入ります。順位は下がりましたが、紐づくCVEは62,445件で全カテゴリ最多。件数の面では依然として横綱級です。
日本の身近な例：後で見るように、日本の脆弱性届出ではXSSとSQLインジェクションが今も件数トップ。「順位が下がった＝減った」ではありません。
中に入る代表的な脆弱性：SQLインジェクション（CWE-89）、XSS（CWE-79）、OSコマンドインジェクション（CWE-78）、コードインジェクション（CWE-94）、LDAPインジェクション、式言語インジェクション（SSTI関連）。
対策：SQLはプレースホルダ（プリペアドステートメント）を徹底。出力時は文脈に応じたエスケープ。入力は「拒否リスト」ではなく「許可リスト」で検証する。
Q. XSS（クロスサイトスクリプティング）は2025年版でどこにいる？
A06：安全性を欠いた設計 Insecure Design ／ 6位
まず場面から：あるチケット販売サイトが、1人1枚のはずのチケットを「同時に大量のリクエストを送れば何百枚でも確保できる」状態でした。コードにバグはありません。「大量確保をそもそも想定していなかった設計」が穴だったのです。これがA06です。
一言でいうと：「実装ではなく、設計そのものが甘い」。コードをどれだけ丁寧に書いても、土台の設計に欠陥があれば防げません。この章だけは抽象度が高いので、先に例、後に定義の順で読むのがおすすめです。
何が起きるか：ビジネスロジックの悪用（クーポンの無限適用、在庫の買い占め）、bot対策の欠如、脆弱なパスワード回復フロー、脅威モデリングの不在。実装の前の「考え方」の段階で負けている状態です。
2025年版での位置づけ：紐づくCWEは39個と多く、公式も「良い設計でも実装ミスは起こりうるが、悪い設計は完璧なコードでも救えない」と明言しています。
対策：要件定義の段階からセキュリティを織り込む。脅威モデリング（どう攻撃されるかを設計時に洗い出す）を実施し、悪用シナリオを想定した設計にする。
Q. 「コードにバグはないが、1人1枚のはずのチケットを大量確保できた」——どのカテゴリ？
A07：認証の不備 Authentication Failures ／ 7位
一言でいうと：「本人確認が甘い」。パスワードやセッションの扱いが弱く、なりすましを許してしまう問題です。2021年版の「識別と認証の失敗」から改称されました。
何が起きるか：総当たり攻撃への対策がない、弱いパスワードを許す、セッションIDが失効しない、多要素認証がない、デフォルトのパスワードが残っている——など。紐づくCWEは36個。
日本の身近な例：パスワードリスト型攻撃（他所で漏れたID/パスワードの使い回しを狙う）による不正ログインは、国内サービスで繰り返し発生しています。
中に入る代表的な脆弱性：不適切な認証（CWE-287）、過剰な認証試行の未制限＝総当たり対策なし（CWE-307）、セッション固定（CWE-384）、弱いパスワード要件（CWE-521）、不十分なセッション失効（CWE-613）、デフォルトパスワードの使用（CWE-1392/1393）。
対策：多要素認証（MFA）を導入。ログイン試行にレート制限。セッションは適切に失効させ、パスワードには強度要件を課す。
Q. 「ログイン失敗が何回でも試せて、総当たりし放題」——どのカテゴリ？
A08：ソフトウェアまたはデータの完全性の不備 Integrity Failures ／ 8位
一言でいうと：「中身がすり替わっていないか、確かめていない」。コードやデータが「本物であること」を検証しないまま信用してしまう問題です。
何が起きるか：署名を確認せずに更新を適用する、信頼できないデータをそのまま復元（デシリアライズ）して任意コードを実行される、改ざん検知のないCookieを信用する——など。A03サプライチェーンと隣り合わせの概念です。
中に入る代表的な脆弱性：信頼できないデータのデシリアライズ（CWE-502）、データ真正性の検証不足（CWE-345）、整合性チェックなしのコードダウンロード（CWE-494）。
境界の注意：「部品そのものが汚染される」のがA03、「部品や更新の真正性を検証していない」のがA08、と考えると整理しやすいです。
対策：更新・依存には署名検証を。信頼できないデータのデシリアライズを避けるか、安全な形式に限定する。CI/CDパイプラインの完全性も守る。
Q. 「信頼できないデータをそのまま復元して任意コードを実行された（デシリアライズ）」——どのカテゴリ？
A09：セキュリティログとアラートの不備 Logging & Alerting Failures ／ 9位 ・投票枠
一言でいうと：「やられても、気づけない・追えない」。攻撃そのものを防ぐ話ではなく、攻撃を検知し記録する仕組みが欠けている問題です。
何が起きるか：重要な操作のログが残らない、ログにアラートが連動していない、逆にログへ機密情報を書き込んでしまう。侵入に気づくまで数か月かかる、という被害の多くはここに根があります。このカテゴリはデータではなくコミュニティ投票で選ばれた枠で、2021年版に続き「現場の実感」で残りました。
中に入る代表的な脆弱性：不十分なログ記録（CWE-778）、ログへの機密情報の挿入（CWE-532）、セキュリティ上重要な情報の記録漏れ（CWE-223）、ログ出力の不適切な無害化（CWE-117）。
対策：認証・アクセス制御・入力検証の失敗を確実に記録し、改ざん検知できる形で保管。異常を検知したらアラートを上げる導線まで設計する。
Q. A09が「データ」ではなく「コミュニティ投票」で選ばれたのはなぜ重要？
A10：例外的な状況への不適切な対応 ★新設 ／ 10位
まず場面から：決済処理の途中でネットワークが切れました。ところがシステムは「途中で失敗したときにどう後始末するか」を決めていませんでした。結果、お金は引き落とされたのに商品は確保されない——あるいは二重に送金される。この「異常時の詰め」の甘さがA10です。
一言でいうと：「うまくいかなかったとき、どうするかを決めていない」。プログラムが異常・予測不能な事態を《防ぐ・気づく・応じる》のいずれかに失敗する問題を、2025年版で新カテゴリとしてまとめました。この章も抽象的なので、例が先です。
何が起きるか：ファイルアップロード中の例外を握りつぶしてリソースが枯渇する、データベースのエラーが詳細に画面へ出て攻撃の手がかりを与える、多段トランザクションのロールバックがなく口座が不整合になる——など。紐づくCWEは24個で、エラー処理・例外処理まわりが集約されています。
中に入る代表的な脆弱性：不適切な例外処理（CWE-755）、エラーメッセージによる情報露出（CWE-209）、チェックされない戻り値（CWE-252）、NULL参照（CWE-476）ほか。
対策：「最悪の事態を想定する」設計を。異常系を正常系と同じ真剣さで設計し、失敗時のロールバック・リソース解放・利用者向けの汎用エラー（詳細はログのみ）を用意する。
Q. A10「例外的な状況への対応」が2025年版で新設されたのは、主に何を集約するため？
🤖 X03：AIが書いたコードを信じすぎる
「11番目のカテゴリ」ではありません。ここに”圏外”の意味が詰まっています。
まず位置づけを正確に：X03はTop 10の”本体”ではありません
A01〜A10とは別に、2025年版には「Next Steps（次の一歩）」という付録的なセクションがあり、そこにX01・X02・X03の3つが並んでいます。X03「AI生成コードへの不適切な信頼（Inappropriate Trust in AI Generated Code、通称 Vibe Coding）」はその1つ。本体10カテゴリには入っていません。
では、なぜ入らなかったのか。ここでセクション5の選定プロセスが効いてきます。本体8枠は「CVEやCWEとして記録が積み上がったもの」しか入れません。AI生成コードの問題は新しすぎて、まだデータが足りない。だから本体には乗れず、しかし無視もできないので Next Steps で名指しされた——という構図です。「圏外」は「軽視」ではなく「これから来る」の印なのです。
OWASPが名指しした責任の所在
X03の核心は「AIが書いたコードでも、開発者はそれをすべて読んで理解する責任がある」という一点です。動いたから採用する、意味は分からないけど通ったから良し——という姿勢（＝Vibe Coding）そのものをリスクとして扱っています。ツールが賢くなっても、最終的にコードに責任を持つのは人間だ、という当たり前を、あえて明文化したものです。
実証データも揃っています。AI生成コードの約45%に脆弱性が含まれ（Veracode 2025）、XSSは人間のコードの2.74倍。さらにAIが薦めるパッケージの約2割は実在せず（USENIX査読論文 2025）、それを逆手に取る「スロップスクワッティング」という新しい攻撃も登場しています。そしてスタンフォードの研究では、AI補助を使うとより危険なコードを書くのに、より安全だと錯覚することが示されました。
X03は”新種”ではなく、既存カテゴリの”増幅装置”
重要なのは、AIが新しい脆弱性を発明したわけではない点です。AI生成コードの事故（例：CVE-2025-48757 Lovable）も、結局はA01アクセス制御やA02設定不備。AIは従来からあるA01〜A10の穴を、高速に・大量に量産しているのです。だから対策は「AI特有の魔法」ではなく、Top 10の基本をAI生成コードにも例外なく適用すること——に尽きます。
X03「AIが書いたコードを信じすぎる」を単独で徹底解説
当サイト・柱B（AI×セキュリティ）
なぜX03は本体でなくNext Steps止まりなのか、Vibe Codingとは何か、スロップスクワッティングとルールファイル汚染の仕組み、実際の事故、そして「AI生成コードの受け入れ基準」チェックリストまで。実証データを一次情報で裏取りし、パッケージ実在判定のミニ演習も用意しました。
🇯🇵 日本の統計と食い違って見える理由
「OWASPで5位のインジェクションが、日本では1位」。矛盾ではありません。
OWASP 2025でインジェクション（XSS・SQLi等を含む）は5位に下がりました。ところが日本の脆弱性届出を見ると、印象がまったく逆になります。IPAの2026年第1四半期のデータでは、JVN iPediaに登録された脆弱性の種類別でXSS（CWE-79）が1,163件で最多、次いでインジェクション系、パストラバーサル、そしてSQLインジェクション（CWE-89）が393件。インジェクションの仲間が上位を占めています。
📊 見ているものが違う：日本の届出 vs OWASPの順位
| 観点 | 日本のJVN届出（2026 Q1） | OWASP Top 10 2025 |
|---|---|---|
| 数えているもの | 届け出られた脆弱性の「件数」 | アプリ単位の「発生率」＋悪用性＋影響度 |
| 母集団 | 日本で届出された製品・サイト | 世界13組織・280万件超のアプリ |
| XSS・SQLiの扱い | 種類別でXSSが最多・SQLiも上位 | まとめてA05（5位）の中 |
| 結論 | 「順位が下がった＝減った」ではない。数える単位と母集団が違うだけ。日本の現場ではインジェクション対策の重要度はむしろ高いまま。 | |
出典：IPA「ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第1四半期］」／ OWASP Top 10:2025 各カテゴリのデータファクター。
数字を読むときの原則
「1位／5位」のような順位は、何を・どの単位で・どの母集団で数えたかを確認しない限り比較できません。OWASPの順位を「日本の危険度ランキング」として読むと、対策の優先順位を誤ります。両方を、それぞれの前提つきで見るのが正解です。
📚 IPA「安全なウェブサイトの作り方」とのズレ
日本の開発者の定番教材。でも、2025年版OWASPが重視する部分が抜けています。
日本でWebセキュリティといえば、まずIPAの「安全なウェブサイトの作り方」（改訂第7版）が挙がります。第1章で11種類の脆弱性を丁寧に解説した、今も価値ある資料です。ただし最終更新は2021年3月31日——5年以上前で止まっています。OWASP 2025と並べると、時代の差がはっきり見えます。
素直に対応するもの：
- SQLインジェクション／OSコマンドインジェクション → A05 インジェクション
- セッション管理の不備 → A07 認証の不備
- アクセス制御や認可制御の欠落 → A01 アクセス制御の不備
IPAでは独立項目だが、OWASPでは別の棚に散る：
- XSS → IPAは独立項目。OWASPはA05に束ねる
- CSRF → IPAは独立項目。OWASPはA01の中（CWE-352）
- クリックジャッキング → OWASPではA02（設定・ヘッダ）寄り
- バッファオーバーフロー → OWASP本体にはなく、Next StepsのX02（メモリ管理）側
ここが最大のズレ。IPA資料に対応項目が存在しない4カテゴリ：
- ❌ A03 ソフトウェアサプライチェーンの不備
- ❌ A06 安全性を欠いた設計
- ❌ A09 セキュリティログとアラートの不備
- ❌ A10 例外的な状況への対応
IPAの定番資料は「コードの書き方」に強い一方、2025年版OWASPが重視するサプライチェーン・設計・運用（ログ／例外処理）という「コード1行では直せない領域」をほぼカバーしていません。IPA資料が2021年で止まっている事実と重なります。
これはIPA資料を否定するものではありません。11種の脆弱性解説は今も有用で、初学者はまずここから入るべきです。ただし「これだけで2025年の全体像はカバーできない」ことを知っておくと、OWASPとの併読で穴を埋められます。この対応表は本記事独自の整理であり、公式の対応表ではない点にご留意ください。
✅ Top 10を全部つぶしても残るもの
公式自身が「これは最低限の出発点にすぎない」と明記しています。
最後に、最も大切な誤解を解いておきます。「OWASP Top 10に準拠すれば安全」ではありません。これはOWASP自身の立場です。公式ドキュメントは、Top 10を「事実上の標準にはなったが、あくまで最低限の出発点（minimum starting point）」と位置づけ、検証やコーディング標準には別の資料（ASVS）を使うよう促しています。
🧭 使い分け：Top 10は「気づく」ための地図
| 資料 | 役割 | ひとことで |
|---|---|---|
| OWASP Top 10 | 啓発（awareness） | まず何を知るべきか＝気づく |
| OWASP ASVS | 検証基準（v5.0.0／2025年） | 要件ごとに合否を測る |
| OWASP WSTG | テスト手順書 | どう試すか |
| SAMM / DSOMM | 成熟度評価 | 組織を育てる |
「安全性を欠いた設計（A06）」のようなリスクは、公式も『大半のテスト手法の範囲を超える＝ツールでは検出しきれない』と認めています。
下は「Top 10のカテゴリ名を潰すだけでは足りない」ことを実感するためのセルフチェックです。答えは保存されません。いくつ「はい」と言えるか試してみてください。
🎯 読んだ次にやること（実習の地図）
知識は、手を動かして初めて身につきます。無料で試せる場所を用意しました。
CTF体験型連載
やさしいサイバーセキュリティ
A01のIDOR・SSRF、A05のSQLi・SSTI・XXEなど、各カテゴリの中身を安全な環境で実際に体験できます。カテゴリ名を覚えたら、次は動かしてみる番です。
PortSwigger Web Security Academy
PortSwigger（Burp Suite開発元）
全ラボが無料。SQLi・XSS・アクセス制御・認証など、OWASPの主要カテゴリを1つずつ手で通せます。英語ですが、当サイトのCTF連載と併走すると理解が速いです。
OWASP Juice Shop
OWASP公式
わざと脆弱に作られたECサイト。攻撃だけでなく「脆弱なソースを見つけて直す」課題もあり、A01〜A08を横断して学べます。自分のPCにDockerで立てて使います。
大前提：攻撃を試すのは「自分の環境」だけ
ここで紹介する攻撃手法は、自分が管理する環境か、攻撃が明示的に許可された学習環境でのみ試してください。許可のないシステムへの攻撃は不正アクセス禁止法違反です。
公式日本語版を読むという選択
そして忘れずに——OWASP Top 10:2025の公式日本語版は、もう全文が読めます。この記事で全体像と日本の文脈をつかんだら、各カテゴリの正確な定義・対策・攻撃シナリオは、ぜひ公式日本語版で直接確認してください。一次情報に当たる習慣が、いちばんの近道です。
📚 出典と更新履歴
本記事の数値・事実は、以下の一次情報を2026年7月24日に直接確認したものです。
🔗 主な出典（★＝一次情報）
- ★ OWASP Top 10:2025（公式・英語） — https://owasp.org/Top10/2025/（閲覧 2026-07-24）
- ★ OWASP Top 10:2025 公式日本語版 — https://owasp.org/Top10/2025/ja/（日本語訳 有効化 2026-07-12）
- ★ OWASP Top 10:2025 Introduction（選定方法論・各種数値） — …/0x00_2025-Introduction/
- ★ OWASP Top 10:2025 各カテゴリA01〜A10のデータファクター（悪用・影響スコア、CVE数、マップCWE） — 各カテゴリ公式ページ
- ★ OWASP Top 10:2025 Next Steps（X01/X02/X03の位置づけ） — …/X01_2025-Next_Steps/
- ★ OWASP Top 10:2021 日本語版（訳語比較用） — https://owasp.org/Top10/2021/ja/
- ★ OWASP プロジェクトページ（翻訳ステータス表示） — https://owasp.org/www-project-top-ten/（2026-07-24時点「翻訳作業中」表示）
- ★ IPA「安全なウェブサイトの作り方」改訂第7版 — ipa.go.jp/security/vuln/websecurity/（最終更新 2021-03-31）
- ★ IPA「脆弱性関連情報の届出状況［2026年第1四半期］」 — ipa.go.jp/…/2026q1.html
- ★ JPCERT/CC「XZ Utils（CVE-2024-3094）について」 — jpcert.or.jp/newsflash/2024040101.html
📌 更新履歴・この記事の見直し方針
- 2026-07-24：初版公開。OWASP公式日本語版（2026-07-12公開）に準拠。
- 次回見直し目安：2026年内、および公式プロジェクトページの「翻訳作業中」表示が解消された時点。X03章はAI×セキュリティの動向に合わせて追記予定。
- OWASP Top 10 の次期改訂は過去の周期（2017→2021→2025）から2028〜2029年頃と見込まれます。
コメント