CVE急増の本質は「修正できていない」問題にある

【なぜ重要か】 2026年春以降、主要21社のCVE報告数が月100件未満から600件超へ急増したことが話題になっているが、この数字の増減そのものがリスク指標になるわけではない。真のリスクは「確認済みの脆弱性がどれだけ速く修正されるか」によって決まり、現状ではその修正速度が業界全体で深刻に遅れている。セキュリティ担当者はCVE件数の増加に振り回されるのではなく、修正プロセスそのものを見直す必要がある。

【ポイント】

• CVE急増の主因はAIによる脆弱性発見の効率化であり、ソフトウェア自体が突然脆弱になったわけではなく、以前から存在していたバグが従来より速く発見されるようになったに過ぎない
• NISTはCVEの採点業務が追いつかず、未処理バックログが18ヶ月で1万3,000件から2万7,000件超に膨れ上がり、連邦政府や重要ソフトウェアに関連するもの以外は「採点予定なし」として事実上放置される状態になっている
• Verizonの2026年データ侵害調査報告書によると、CISAの既知悪用済み脆弱性（KEV）リストに掲載された確認済み脆弱性の完全修正率は2025年に26%まで低下（前年38%から減少）し、完全修正までの中央値も32日から43日に延長されている
• AdobeのCommerceおよびMagento Open Sourceを標的にした未認証RCE脆弱性「Stylesmuggler」は、CVE番号もAdobe公式アドバイザリもない状態でAikido Intelが独自に検出・追跡し、AutoFixによるプルリクエストとして修正を提供した。これはAdobeが公式ホットフィックスを公開する24時間以上前のことであった
• Aikido Intelが初年度に脆弱性を発見したパッケージのうち67%は、NVD・GitHub Advisory・MITREを含むいかなる公開データベースにも報告されていなかった

【まとめ】 CVEの件数増加を追うことはもはや意味をなさず、重要なのは「実際に悪用可能な脆弱性を素早く特定し、速やかに修正する」能力である。自組織の環境での到達可能性・悪用可能性の分析を導入し、CVE番号やベンダーアドバイザリの公開を待たずに修正できる体制を整えることが急務となっている。