2004年7月の受付開始から2026年3月末までの累計は20,065件。内訳はソフトウェア製品6,530件、ウェブサイト13,535件で、ウェブサイトが約7割を占めます。

グラフの緑が「終わったもの」、赤が「終わっていないもの」です。ウェブサイト側は66.0%が修正完了しており、制度としてはよく回っています。問題は赤の中身で、次の章から順に見ていきます。

ソフトウェア製品の届出6,530件を、処理の結果ごとに分解します。合計はぴったり6,530件になります。

制度の対象外だった「不受理」629件を除くと、受理された届出は5,901件。そのうち──

そしてもうひとつ、動かない数字があります。届出を受理してからJVNで公表するまでに45日以内で済んだ割合です。

45日以内の公表は28〜29%のまま、3年間まったく動いていません。裏を返せば、7割以上は45日を超えているということです。レポート本文も「製品開発者は脆弱性が悪用された場合の影響を認識し、迅速な対策を講じる必要があります」と、めずらしく強い書き方をしています。

そして長期化の割合だけは、47%→51%とじわじわ悪化しています。次の章で、その中身を見ます。

ウェブサイトの脆弱性を届け出ると、IPAがサイトの運営者に連絡します。返事がなければ1〜2か月ごとに、メール・電話・郵送で繰り返し連絡を試みます。それでも90日以上、修正した旨の報告がないものが「長期化」として集計されています。

その件数は1,057件。経過日数ごとに分けると、こうなります。

ひとつの棒だけが突き抜けています。1,000日以上──約2年9か月以上たっても修正の報告がない案件が799件。長期化案件全体の75.6%です。

そしてこの数字は、年々増えています。

取扱い中の総数はほぼ横ばい（1,976→2,078）なのに、そのうち長期化しているものの割合は47%から51%へ上がっています。新しく届け出られたものは処理されるけれど、古くて動かないものが底に溜まっていく形です。

251件のうち160件（63.7%）が、いまも連絡不能のままです。そのうち159件は、製品名まで公表されている──つまり「この製品のこのバージョンには問題があります」と国が公表しているのに、直す人が現れない状態が続いています。

ウェブサイトの脆弱性はクロスサイト・スクリプティングだけで56%。20年以上前から知られている、教科書に必ず載っている種類の問題です。新しい攻撃手法が問題なのではなく、昔からある基本的な穴が塞がれないまま残っているのが実態だと分かります。

そして、修正に要した日数を見ると、52%は30日以内に直っています。直すところは早く直る。問題は、動かないものがまったく動かないことです。

ここまで見てきたことを、もう一度まとめます。

セキュリティの話では「脆弱性が見つかった」というニュースがよく流れます。私たちはそれを聞いて、「見つかったなら、そのうち直るだろう」と思います。この統計が示していたのは、その先の景色でした。

見つけた人は届け出る。制度は開発者を探す。連絡がついたものは、半分が30日以内に直る。つかなかったものは、3年たっても、そのままです。そして誰も悪意を持っていません。会社がなくなっただけ、担当者が変わっただけ、メールが届かなくなっただけです。