やさしいサイバーセキュリティ｜企業の備え
9.8点なのに、1.2％？
数字の意味がわかると、
対策の順番が見えてくる。
BeyondTrustとApache Strutsの2つの脆弱性を例に、「どんな危険があるのか」「企業の担当者は何をすればよいのか」を、CVSS・EPSSの読み方と一緒に解説します。
情報確認日：2026年10月21日｜EPSSは日々更新されます。本文の比較値の扱いは下記をご確認ください。
脆弱性の一覧を見ると、「9.8」「8.1」といった点数の横に、「1.2％」「96.1％」という割合が並んでいることがあります。「高い点数なのに、割合は低い。結局、どちらが危ないの？」と迷いますよね。
この2種類の数字は、見ているものが違います。さらに、今回取り上げる2件は、どちらも実際の悪用が確認されています。割合が低い方も、対象環境での確認を後回しにできません。［1］
忙しい担当者の方は、まずこの3つ
- 自社で使っているか確認する。遠隔保守の仕組み、古いWebシステム、委託先が管理する製品も対象です。
- 版番号・設定・修正の適用結果を確認する。「自動更新の予定」「初期設定のはず」だけで対応済みと判断しません。
- 修正と並行して、過去の侵害も調べる。更新は入口を直す対策です。既に侵入されていないかの確認も必要です。
この記事は、製品を運用する企業担当者と、委託先に確認を依頼する方のための解説です。一般の利用者が、手元のパソコンへStrutsの修正を入れる話ではありません。
01｜まず、数字の読み方CVSSは「技術的な深刻さ」、EPSSは「悪用の予測」
「脆弱性」は、ソフトウェアなどにある、安全を損なう弱点のことです。弱点ごとに付く整理番号が「CVE」。今回の長い英数字は、調査や問い合わせで同じ問題を指すための番号です。
どんな条件で攻撃でき、
どこまで影響するか
外部から届く攻撃か、事前の権限が必要か、情報の流出・書き換え・サービス停止への影響はどうか。こうした技術的な特徴から、深刻さを評価します。
9.8点は「98％の確率で被害が出る」という意味ではありません。
今後30日間に、
悪用活動が観測されそうか
公開済みの脆弱性について、実際の攻撃での悪用が今後30日間に観測される可能性を、データから推定します。日々更新される予測値です。
96％は「自社が96％の確率で被害に遭う」という意味ではありません。
たとえるなら、CVSSは「建物の弱点の性質」、EPSSは「その弱点を狙う動きが観測されそうか」です。ただし、建物ごとの立地や中にある大切な物まで、この2つの数字だけでわかるわけではありません。自社での使い方を合わせて判断します。
定義：FIRST：CVSS v3.1 User Guide／FIRST：Using EPSS。本記事のCVSS比較は、技術的な基本評価である「基本値」を扱います。
02｜数字を並べてみよう「深刻さ」と「予測」は、同じ順番にならない
比較するのは、遠隔保守製品のBeyondTrust Remote Supportと、Webシステムに使われるApache Struts 2の脆弱性です。CVSSは、比較の条件をそろえてJVN掲載のCVSS v3を使います。［2］［3］
EPSSは「同じ日付」の公式データで比較
以下はFIRST公式APIの2026年10月20日付データです。BeyondTrustは1.18％、Strutsは96.052％。図と表では、小数第1位までの約1.2％・約96.1％で表示します。
EPSSは日々変わるため、別の日の一覧と一致しない場合があります。この値は10月20日時点の記録です。比較するときは、データの日付も一緒に確認しましょう。［4］
図1｜別々のものさしで見る、2つの数字
表は横にスクロールできます。
| 確認項目 | BeyondTrust Remote Support | Apache Struts 2 |
|---|---|---|
| CVE番号 | CVE-2026-102764 | CVE-2016-3081（S2-032） |
| CVSS v3 | 9.8／緊急 | 8.1／重要 |
| 攻撃条件の複雑さ | 低 | 高 |
| 事前の権限・利用者操作 | いずれも不要 | いずれも不要。DMI有効が成立条件 |
| EPSS（10月20日付） | 約1.2％／上位約33％ | 約96.1％／上位約0.12％（1％以内） |
| 悪用の確認 | あり。公表前の攻撃をメーカーが報告 | あり。CISA KEV掲載 |
| KEV追加日 | 2026年10月16日 | 2026年10月8日 |
| 主な対策 | 修正パッチの適用確認と、過去の侵害調査 | DMI設定の確認・必要に応じた無効化と、サポート対象版への移行 |
CVSS・攻撃条件：［2］［3］／KEV追加日：［1］／悪用事例：BeyondTrustの調査報告／EPSS：［4］。順位はFIRSTのパーセンタイルから換算した概数です。
CVSSが9.8と8.1に分かれるのはなぜ？
JVNのCVSS v3評価では、両方とも「ネットワーク経由」「事前の権限なし」「利用者の操作なし」で、情報の流出・書き換え・停止への影響はいずれも「高」です。違うのは攻撃条件の複雑さで、BeyondTrustは「低」、Strutsは「高」と評価されています。これが、点数の差を読む手がかりです。［2］［3］
「複雑さが高い」から安心、とはいえません。攻撃の実証コードが公開されていたり、既に悪用されていたりする事実も、別に確認する必要があります。
BeyondTrustの「9.3」を見かけたら？
メーカーの公式告知はCVSS v4.0で9.3です。本記事の9.8はJVN掲載のCVSS v3の値。評価方式が異なります。数字だけを抜き出すと混乱するため、「どの版のCVSSか」も一緒に読みましょう。［5］
EPSSの差は、何を意味する？
EPSSは、攻撃の観測情報や脆弱性に関する情報などを使う予測モデルです。技術的な深刻さの点数とは、計算の目的が違います。そのため、CVSSが高いものから順にEPSSも高くなるわけではありません。［6］
今回の2件が、この値になった理由の内訳までは確認できていません。「新しい脆弱性だから低い」「古いから高い」と年齢だけで説明することもできません。
また、「上位33％」「上位1％以内」は、他の脆弱性と比べた順位です。悪用の予測確率を表す1.2％・96.1％とは別の数字です。たとえばStrutsのパーセンタイルは99.878％で、上から見ると約0.12％に入ります。順位が上位でも、自社の被害確率を示すものではありません。［4］
予測より先に、起きた事実を確認する
天気予報の降水確率が低くても、目の前で雨が降っていれば傘が必要ですよね。同じように、EPSSが低くても、実際の悪用が確認されている事実は消えません。今回の2件は、両方とも対応対象として確認します。
03｜CVE-2026-102764BeyondTrust：遠隔保守の「入口」を悪用される
BeyondTrust Remote Supportは、IT担当者などが離れた場所の端末を保守するための製品です。今回の問題は、製品内部のメッセージについて、送信元を正しく確かめる処理が不十分だったことにあります。［5］
受付の担当者に「社内の正規の依頼です」と信じ込ませ、許可してはいけない作業をさせるイメージです。ここでいう「なりすまし」は、偽メールで人をだます話ではなく、製品内部の通信の送信元を装うことです。
図2｜遠隔保守の装置から、被害が広がるおそれ
利用者の操作は不要
ファイル操作が可能に
権限悪用につながる
何が起きていた？
メーカーは、2026年8月29日にSaaS版1環境と自社設置版1環境が攻撃されたと報告しています。10月15日の公表より前に使われた、いわゆる「ゼロデイ攻撃」です。この2環境はメーカーが把握した範囲であり、世界全体の被害件数ではありません。［8］
企業の担当者がすること
- 自社設置版：26.2.3以前の環境で、
BT26-05-RSパッチの適用結果を確認します。対象は24.3.1～26.2.3。24.3.1未満は先に対応可能な版へ更新します。 - SaaS版：メーカーは10月9日までに全顧客の修正を完了したと説明しています。提供元に自社環境の状況を確認し、必要な侵害調査や設定確認を進めます。
- 侵入の疑いがある場合：変更や再起動の前に証拠を保全し、メーカーや調査担当と隔離・再構築を判断します。関係する認証情報の更新は、装置の修正・再構築後に進めます。
修正条件：［5］／侵害が疑われる環境の保全・復旧：Mandiantの推奨対応［7］。隔離やセッション停止は保守業務へ影響するため、関係部署と調整して実施します。
関連製品のPrivileged Remote Access（PRA）にも、共通コードに対する予防的なパッチが推奨されています。一方、メーカーはPRAでの悪用方法を確認していないと説明しています。RSと同じ被害が確認された、と読み替えないようにしましょう。［8］
04｜CVE-2016-3081／S2-032Struts：Webシステムに、不正な処理をさせる
Apache Struts 2は、JavaでWebアプリケーションを作るための土台です。企業の業務システムや製品の中に組み込まれていることもあり、利用者から製品名が見えるとは限りません。［9］
この脆弱性では、DMIという機能が有効なときに、細工したHTTPリクエストを送ると、サーバーに不正なコードを実行させられる可能性があります。DMIは、リクエストに応じて呼び出す処理を動的に選ぶ機能です。［10］
図3｜Webから届いた入力が、不正な処理に変わる
HTTPリクエストを送る
＋ DMI有効不正な式を
処理してしまう
実行権限で動く
「2016年」の脆弱性が、なぜ今の一覧に？
国内では2016年4月に注意喚起されています。一方、表の2026年10月8日はCISA KEVへの追加日です。脆弱性が初めて知られた日と、悪用確認済み一覧に加わった日は別です。古い問題も、未修正のシステムが残れば確認が必要です。［9］［1］
企業の担当者がすること
Apacheの告知では、対象は2.3.20～2.3.28（2.3.20.3、2.3.24.3を除く）で、DMI有効が条件です。当時は2.3.20.3、2.3.24.3、2.3.28.1で修正されました。［10］
対象範囲の書き方には資料間で差があり、NVDの現行説明は2.3.19も含めています。棚卸しでは2.3.19も確認対象にし、組み込み製品は提供元の修正情報と照合してください。［11］
- 実際に稼働している版と設定を確認。委託先に、Strutsの有無、利用版、DMI設定、提供元による修正の有無を確認します。
- DMIを使わないなら無効化を検討。業務への影響をテストして変更し、反映を確認します。初期設定のままと決めつけません。
- 現在サポートされる版へ移行。当時の修正版を最終目標にせず、保守できる構成へ移します。
DMIは2.3.15.2以降で初期設定が無効ですが、アプリ側で有効化されている可能性があります。JPCERT/CCは、DMI無効化時に実証コードが動作しないことを確認しています。［9］
当時の「修正版」は、今の「安全な推奨版」とは限らない
Struts 2.3系は2019年9月12日にApacheのサポートを終了しました。2.5系も終了しています。今回の穴をふさいでも、別の弱点への更新が続かない構成では不安が残ります。現行のサポート対象版への移行を、開発・保守会社と進めましょう。［12］
05｜担当者の実務「自社に関係ある？」から、完了確認まで
今回の2件は、両方とも悪用確認済みです。「EPSSが高いStrutsだけ」「CVSSが高いBeyondTrustだけ」と片方に絞らず、まず自社の対象環境を特定します。以下は、調査結果をもとに整理した実務上の進め方です。
図4｜数字を、具体的な対策につなげる順番
- 利用の有無と、影響条件を確認する対象なしなら、その根拠と確認日を記録。不明なら、資産管理・開発・委託先に調査を依頼します。
- 悪用情報と、自社への影響を合わせる公開範囲、扱う情報、接続できる社内端末、業務停止の影響を確認。侵害の兆候があれば調査担当へ連絡します。
- 修正・必要な遮断・証拠保全を調整する製品の公式手順に従います。疑わしい環境は変更前に保全し、再起動や初期化を先走りません。
- 反映と、過去の被害を確認するパッチ適用結果、設定、業務動作を確認。ログ調査と必要な復旧・認証情報の更新まで追います。
調査するときの確認ポイント
装置と、接続先の両方
不審な管理者ログイン、無断の権限・設定変更、未知のスクリプト、ログ転送の途切れを確認。必要に応じて、装置から接続された端末も調査範囲に含めます。［7］［8］
Webからサーバーへの動き
実務上の確認対象は、不審なWeb要求、アプリサーバーから起動された不審なプロセス、未知のファイル、外部への不審な通信など。調査担当と記録を保全・照合します。
「怪しいログが見つからない」と「侵入されていない」は同じではありません。保存期間や取得している記録の範囲を確認しましょう。特にBeyondTrustの事例では、攻撃者によるログ削除も報告されています。装置外に保管した記録が役立ちます。［7］［8］
委託先への確認は、この形で
確認依頼の文例
当社が利用するシステムについて、CVE-2026-102764とCVE-2016-3081の影響有無をご確認ください。
①対象製品・組み込み部品の有無、②稼働中のバージョンと影響する設定、③修正の適用結果と確認日、④未対応の場合の暫定対策・業務影響・対応予定、⑤過去の侵害調査の要否と状況を、根拠とともにご回答ください。
社内では、資産名、担当者、公開範囲、版番号、修正・設定、調査状況、期限、完了の根拠を管理します。「対象外」のときも、確認した証拠を残しておくと、次に同じ問い合わせが来たときに説明できます。
06｜最後に、疑問を整理よくある疑問と、対応チェックリスト
EPSSが1.2％なら、急がなくてもいい？
その数字だけでは判断できません。BeyondTrustの件は既に悪用が確認されています。自社が影響する未修正環境を使っているなら、修正と侵害確認を進めます。EPSSは自社の被害確率でも、対応を免除する基準でもありません。
96％は「100社中96社が被害に遭う」という意味？
違います。公開された脆弱性について、今後30日間の実環境での悪用活動が観測される可能性を推定する数字です。企業ごとの製品利用、設定、公開範囲、防御状況を反映した被害率ではありません。［6］
CVSSが8.1のStrutsは、9.8のBeyondTrustより被害が軽い？
そうは決められません。JVNのCVSS v3では、両方とも情報の流出・書き換え・停止への影響は「高」です。実際の被害は、サーバーの権限、扱う情報、接続先などによって変わります。［2］［3］
パッチを入れたら、対応は完了？
更新の反映と業務動作を確認したうえで、過去の侵害も調べます。既に置かれた不正プログラムや、漏れた認証情報まで、通常の更新だけで元に戻るとは限りません。侵害が疑われる場合は、調査担当と復旧範囲を決めてください。［7］
WordPressやCocoonを使っているだけで、この2件の対象になる？
その利用だけでは、この2件に該当するとはいえません。対象はBeyondTrust Remote SupportとApache Struts 2の該当環境です。ただし、保守会社の遠隔保守や別の業務システムに含まれる可能性があるので、関係する提供元に確認してください。
対応を終える前に確認
チェックはこの表示中だけの目印です。対応記録は社内の管理表などに残してください。
CVSSで弱点の性質を知り、EPSSで悪用の予測を参考にする。そして、悪用された事実と自社の環境を確かめる。この順に読み解くと、数字を見比べるだけで終わらず、具体的な対策につなげられます。
参考資料出典・数値の確認方法
本文の情報確認日は2026年10月21日です。製品の対象範囲・修正方法・悪用情報は更新されることがあります。作業時は公式情報を再確認してください。EPSSは2026年10月20日付の公式データを掲載しています。
- CISA：Known Exploited Vulnerabilities Catalog公式配布データ。2件の掲載、追加日を確認。Web版：KEVカタログ。
- JVN iPedia：JVNDB-2026-038868。BeyondTrustのCVSS v3＝9.8、攻撃条件、影響範囲。
- JVN iPedia：JVNDB-2016-002326。StrutsのCVSS v3＝8.1、攻撃条件、当時の修正版。
- FIRST公式API：BeyondTrust／Struts。両方ともデータ日付2026-10-20。BeyondTrustはEPSS 0.0118・percentile 0.67244、StrutsはEPSS 0.96052・percentile 0.99878を確認。割合はscore×100、上位の概数は（1−percentile）×100で換算。
- BeyondTrust：BT26-05。影響する版、修正パッチ、SaaS対応、CVSS v4.0＝9.3。
- FIRST：EPSS／Using EPSS／CVSS v3.1 User Guide。指標の意味と使い方。
- Google Threat Intelligence Group／Mandiant：ARMORY CASTLE Exploits BeyondTrust。侵害事例と保全・復旧の推奨対応。
- BeyondTrust：ARMORY CASTLE and BT26-05。攻撃の時系列、把握した被害範囲、PRAへの予防的な修正、ログ調査の観点。
- JPCERT/CC：Apache Struts 2の脆弱性（S2-032）に関する注意喚起。DMIの条件、実証コードによる検証、初期設定、国内の注意喚起日。
- Apache Software Foundation：S2-032。Strutsの仕組み、対象範囲、当時の修正版、DMI無効化。
- NVD：CVE-2016-3081。検索掲載の説明文で2.3.19を含む対象範囲を確認。旧告知との表記差に注意。
- Apache：End-of-Life Versions。Struts 2.3系・2.5系のサポート終了。
コメント