使ったのは2つの収集データです。どちらも各媒体が公開しているRSSを毎日巡回して貯めているものです。

ここで大事なのが「事件数」への変換です。同じ事件は複数の媒体が報じるため、記事数のまま数えると、話題性の高い事件ほど水増しされます。そこで見出しの語の重なりとCVE番号の一致で同一事件をまとめ、「関連記事○件」という形に畳みました。

そのうえで、両者を17のテーマ（ランサムウェア、ゼロデイ、サプライチェーン、AI悪用など）で分類し、「世界での出現率」から「日本での出現率」を引いた差を見ます。差が大きいテーマが、日本で手薄になっている領域の候補になります。

危険度スコアと報じた媒体数で並べた、今週の上位5事件です。まず日本版から。

続いて世界版です。

両方に共通して顔を出しているのが Metabase と AI推薦ポイズニング。世界版だけに出ているのが SonicWall です。この時点で、注目すべき候補が見えてきました。

テーマ別に差を計算すると、上位はこうなりました。

さらに個別の攻撃名まで降りると、機械は「世界版には何度も出てくるが、日本の情報源には1度も出ていない」ものとして、ClickFix、ChainDrop、Metabase、SonicWall SMA 1000 などを挙げてきました。

ここで、そのまま記事にせず1つずつ検索して確かめました。結果は半分が外れです。

これは、この記事を読む方にもそのまま当てはまります。「自分が見ている情報源に出ていない」ことは、「起きていない」ことの根拠にはなりません。情報源の数と種類そのものが、見える範囲を決めています。

今週いちばん注目すべきはこれです。SonicWall SMA 1000シリーズは、社外から社内ネットワークへ安全に接続するためのリモートアクセス装置です。つまり、会社の玄関に置かれている機器です。

CISAの「実際に悪用された脆弱性カタログ（KEV）」を直接確認したところ、次の2件が登録されていました。

さらに深刻なのが時系列です。

攻撃者は、この2つの脆弱性を連鎖させて使います。まず認証を回避して内部に入り、次に権限をrootまで上げる。そこから認証情報を抜き取り、ランサムウェアを展開する足場を作る、という流れが報告されています。

対応：SMA 1000シリーズを使っている場合は、最新版への更新が最優先です。すでに1か月以上前から悪用されているため、更新するだけでなく、その間に侵入されていないかの確認（認証情報の入れ替え、不審なアカウントやトンネルの有無の点検）まで必要だと各社が推奨しています。

もう1件がMetabaseです。こちらは日本版・世界版の両方でTop5に入りながら、日本語の解説が見当たらないという珍しい形でした（日本版に入っていたのは海外媒体の記事です）。

Metabaseは、社内のデータベースに接続してグラフや集計を作る、いわゆるBI（ビジネスインテリジェンス）ツールです。無料で自社サーバーに設置できるため、日本でも利用している企業は少なくありません。

対応：自社サーバーに設置している場合は、上記の修正版へただちに更新してください。すぐに更新できない場合の暫定策として、開発元は /api/session/reset_password のエンドポイントを遮断することを案内しています。また更新後は、すでに発行されているセッションをすべて無効化することも推奨されています。

今回の分析で、もうひとつ構造的なことが見えました。国内の情報源から集まった記事の内訳です。

ここに、はっきりした偏りがあります。「どの製品にどんな脆弱性があるか」という情報は、JVNDBを通じて日本にも即座に、かつ大量に入ってきます。実際、今週世界で話題になったLangflowやN-centralの脆弱性は、JVNDBにもきちんと登録されていました。

SonicWallの件は、まさにこの形でした。脆弱性そのものは7月14日に公表されています。しかし「誰が、いつから、どう使っているか」という攻撃側の文脈は、日本語では見当たりませんでした。そして実務で優先順位を決めるとき、効くのは後者の情報です。

この差を埋めるのに、特別な設備は要りません。CISAのKEVカタログを週に1回、自社の製品名で検索するだけで、「実際に悪用されている」という情報は無料で手に入ります。今回のSonicWallの件も、KEVを見ていれば7月14日の時点で気づけました。KEVの見方については境界機器が狙われる理由の記事もあわせてご覧ください。