母集団をはっきりさせておきます。曖昧なまま数字だけ出すと、読む側が判断できなくなるためです。

3,993件のうち、実際に悪用が確認されたのは111件。率にして2.8%です。 残りの97.2%は、報告され、修正され、そして——少なくとも公式には——誰にも使われていません。

この2.8%という数字自体が、まず1つの答えになっています。「脆弱性が何件あるか」は、危険度の指標としてほとんど機能しません。97%が使われないものを数えても、リスクの大きさはわからないからです。

まず、素直に件数だけで数えます。3,993件をCWEごとに集計した上位は次のとおりです。

1位はクロスサイトスクリプティングで385件。MITREのCWE Top 25 2025年版と同じ顔ぶれ、同じ首位です。防御製品も普通のソフトウェアと同じで、管理画面のWeb UIにXSSが積み上がっている——ここまでは、まったく意外性がありません。

数だけを見れば、「セキュリティ製品といっても中身は普通のWebアプリと変わらない」という平凡な結論で終わります。実際、多くの記事はここで止まります。

ここで、同じ3,993件に「実際に悪用されたか」というフィルタをかけます。111件だけが残ります。すると、上の表がひっくり返ります。

いちばん下の行を見てください。CWE-306「重要な機能に認証がかかっていない」は、報告件数では25件しかありません。全体で39位です。ところが実際に悪用された数では10件で、最多タイに並びます。

一方、385件で堂々の1位だったXSSは、悪用が確認されたものが1件もありません。

太字にした3つが認証まわりです。CWE-288「別ルートからの認証バイパス」にいたっては、報告件数13件・全体64位という完全な少数派なのに、悪用では5件に達しています。

MITREのCWE Top 25と並べると、ずれ方がもっとはっきりします。

Top 25の1〜4位を合計しても、防御製品で悪用されたのは3件です。5位以下の4つだけで31件に達します。 世間で「最も危険」とされる欠陥の並び順と、この製品群で実際に攻撃者が使った欠陥の並び順は、上位ほど食い違っています。

なぜ認証まわりとパストラバーサルばかりが選ばれるのか。理由はおそらく単純で、攻撃者にとっての使いやすさが違うからです。

XSSは、成立させるのに「被害者がリンクを踏む」という条件が要ります。管理画面のXSSであれば、まず管理者にそのURLを開かせなければなりません。攻撃の起点としては手間がかかります。

これに対して、CWE-306「重要な機能に認証が無い」はどうでしょうか。インターネットに面した機器の、認証を必要としないURLを叩くだけです。 誰かを騙す必要も、待つ必要もありません。しかもファイアウォールやVPN装置は、仕事の性質上インターネットに面しています。

認証・アクセス制御にかかわる欠陥（CWE-306・287・288・862・863・284・798など）でまとめると、悪用が確認された111件のうち29件、およそ4分の1を占めます。単独のCWEとしては分散していても、「入口を開けてしまう」という一群として見ると最大勢力です。

111件をCISA側の記録と1件ずつ突き合わせていて、想定していなかったものが出てきました。KEVに登録されている「ベンダー名」が、製品のメーカーではないものが8件あります。

Log4j、OpenSSL、Bash、Linuxカーネル。いずれも、その製品のメーカーが書いたコードではありません。 部品として組み込まれていた他人のコードが穴で、その穴が製品ごと影響を受けた、という構図です。

セキュリティ製品は「他のソフトウェアを守るもの」ですが、その中身は他のソフトウェアと同じように、無数のオープンソース部品でできています。守る側だけが部品表の外側にいる、ということはありません。

この8件は、悪用が確認された111件の7.2%にあたります。数としては小さいものの、「自社の製品にどのオープンソースが入っているか」を把握する取り組み——いわゆるSBOM——が、防御製品にこそ必要である理由をそのまま示しています。

自分で集めたデータで記事を書く以上、そのデータで何が言えないかも同じ場所に書いておくべきだと考えています。今回わかった限界は次のとおりです。

とくに1つ目は、今回の作業ではっきりした収穫でした。「この製品はCVEが787件もあるから危険だ」という比較は、そもそも成立しません。 記号の当て方ひとつで件数は何倍にも変わりますし、脆弱性の開示に熱心なベンダーほど数字が伸びるという逆転もあります。

結論はひとつです。「認証を必要としない入口が、インターネットから見えていないか」を確認すること。 これが、悪用が確認された欠陥の4分の1に対応します。

逆に言えば、すべての脆弱性に同じ速度で対応しようとするのをやめてよい、というのがこのデータの実務的な意味です。97.2%は、少なくとも公式には誰にも使われていません。限られた時間は、残りの2.8%と同じ性質を持つもの——外から認証なしで触れてしまう入口——に使うほうが効きます。