2026年6月9日のOpenSSL大型アップデート(18件修正)で、High-severityのCVE-2026-45447(PKCS#7 use-after-free、RCE可能性)が公開。発見にはAnthropicのClaude AIが関与しました。全CVEを人手で追うのは非現実的——無料枠での可視化から、SCA+reachability+SASTによる「直すべきものだけ」への集中まで、現実的な備え方を解説します。
2026年6月9日、OpenSSLプロジェクトは計18件の脆弱性を修正するアップデートをリリースしました。中でも注目はHigh-severityの CVE-2026-45447。PKCS#7署名検証処理におけるheap use-after-freeで、細工されたPKCS#7またはS/MIME署名メッセージを処理させることでトリガーされます。結果として、heap破壊、プロセスクラッシュ、そして条件次第ではリモートコード実行(RCE)に至る可能性があります。
OpenSSLでHigh-severityが出るのは珍しいことです。昨年は1件のみ、今年もこれが2件目。「枯れた」と思われがちな基盤ライブラリでも、まだこのクラスの脆弱性は眠っています。
そしてもう一つの注目点が発見の経緯です。この脆弱性は、研究者がAnthropicのClaude AIと協業して発見したと報じられています。さらに今回のパッチ群のうち6件はAnthropicのAlex Gaynor氏のクレジットで、同社のAIモデルが発見に関与した可能性が指摘されています。
AIが基盤ライブラリの脆弱性を掘り当てる時代が、もう来ています。
現時点で、CVE-2026-45447の悪用やPoC公開は確認されていません。
ただし、この「まだ」がポイントです。防御側がAIで脆弱性を見つけられるなら、攻撃側も同じことができます。CVE公開からPoC登場、そして実際の攻撃までの猶予は年々短くなっており、「High-severityだけど悪用は先の話だろう」という感覚は、もう通用しなくなりつつあります。
しかも今回は18件の同時修正。High 1件、Moderate複数(暗号通信の復号、認証バイパス、DoSなど)、Low多数。Moderateの中には「偽の証明書と秘密鍵を1/256の確率でシステムに受け入れさせる」という認証バイパスも含まれています。
正直なところ、これが現場の本音ではないでしょうか。
OpenSSLは、あなたのpackage.jsonには書いてありません。でも、コンテナのベースイメージに、ネイティブバインディングの先に、CI/CDのどこかに、ほぼ確実にいます。
「自分の環境のどこにOpenSSLがいるか、今すぐ即答できますか?」
この問いに即答できる組織は多くありません。そして、本業の開発をやりながら、毎週公開される大量のCVEを追い、自社環境への影響を一つひとつ調べる──それを人手でやるのは現実的ではありません。
では誰に頼るか。製品に頼るのが現実解です。
では、実際に現場では何から始めればよいのでしょうか。
最初から大きなAppSec基盤を作る必要はありません。まずは無料枠で、自分たちのリポジトリやコンテナイメージに「OpenSSLがどこにいるのか」を見える化するだけでも、かなり意味があります。
Aikido Securityの無料プランは、クレジットカード不要で始められ、ソースコード、依存関係、コンテナイメージ、シークレットなどの基本的な確認ができます。つまり、今回のようなOpenSSLのCVEが出たときに、少なくとも次の問いに答えられるようになります。
もちろん無料枠には制限があります。スキャン頻度や対象数に上限があり、AutoFix、AutoTriage、Code Qualityといった機能は有料プランの領域です。無料枠だけで本番運用のすべてを完結させる、という話ではありません。
ただし、「CVEが出た。うちに関係あるのか分からない」という状態から、「少なくとも影響候補はここまで見えている」という状態に進むには十分です。
もう一つ重要なのがOpenGrepです。
OpenGrepは、ソースコードを静的に解析して、危険なコードパターンを見つけるためのエンジンです。SQLインジェクション、XSS、危険な関数呼び出し、秘密情報のハードコード、独自ルールによる禁止パターンの検出などに向いています。
Aikidoでは、このOpenGrepベースのSASTを使い、さらに必要に応じてカスタムルールも追加できます。たとえば自社ルールとして、
といったチェックを追加できます。
ただし、OpenGrepだけでOpenSSLのCVE影響範囲を完全に判断できるわけではありません。OpenGrepが得意なのは「自分たちのコードの中に危険な使い方があるか」を見ることです。一方で、OpenSSLがコンテナのベースイメージやOSパッケージ、ネイティブライブラリ経由で入っている場合は、SCAやコンテナスキャンの領域になります。
CVE公開に即追従してくれるスキャナの価値は、まさにこういう日に出ます。
ただし、検出するだけなら「OpenSSLを含むイメージ全部にアラート」となり、ノイズの山ができるだけです。重要なのはその先のトリアージ。
Aikido Securityの場合、reachability分析によって「この脆弱なコンポーネントに、自分のコードから実際に到達可能か」までを判定します。さらに、依存チェーンのどこにそのパッケージがいるのか──どのリポジトリ、どのlockfile、コンテナイメージのどのレイヤーか──が表示されるため、判定結果をエンジニアが根拠付きで確認できます。
役割分担を整理するとこうなります。
ここまでできると、「全CVEを人間が読む」必要はありません。人間がやるべきことは、CVEの山を全部追うことではなく、ツールが絞り込んだ"自分たちに関係するリスク"を判断することです。
冒頭に戻ると、この脆弱性は「人間+AI」の協業で発見されました。防御側も同じ構図です。AIと自動化がトリアージを担い、人間は判断に集中する。CVE-2026-45447は、その分業がすでに発見側でも防御側でも回り始めていることを示す好例だと思います。
参考: SecurityWeek / OpenSSL公式アドバイザリ
Aikido Community Japan
公開日: 2026/6/10
最終更新: 2026/6/10
セキュリティの最新情報をお届けします。