AIによる脆弱性検出の急増でCVE公開数が約3.6万件に達する一方、実悪用は495件にとどまる実態が判明
要点
- 2026年上半期のCVE公開数は前年同期比49%増の3万5,853件に達した一方、実際に悪用が確認されたのは495件にとどまった。
- AnthropicのAIモデル「Mythos」がOSSから検出した2万6,153件の脆弱性候補のうち、修正パッチが適用されたのは421件だった。
- 調査では95%の組織がペンテストを重視する一方で、年内にテストされている攻撃対象領域は平均32%に限定されている。
- CVSSスコアだけに依存せず、悪用可能性・セキュリティ制御・エージェント型ペンテストを組み合わせた検証アプローチの必要性が示されている。
AI技術の普及に伴いソフトウェアの脆弱性発見が大幅に高速化・大規模化する中、セキュリティ専門メディアのThe Hacker Newsが2026年9月15日、脆弱性の実効性検証に関する分析記事を公開した。
記事によると、公開される脆弱性の件数が急激に増加しているものの、実際のサイバー攻撃で悪用されている脆弱性はごく一部にすぎないことが各種データから明らかになったという。これにより、従来の深刻度スコアに頼るだけでなく、組織固有の利用環境において実際に攻撃が成立するかを検証する重要性が高まっていると報告されている。
公開件数が急増する一方で実際の悪用例はわずか1%強
2026年上半期に公開されたCVE（共通脆弱性識別子：個別の脆弱性に割り当てられる標準識別子）の件数は3万5,853件に上り、前年同期比で約49%増加した。しかし、セキュリティ機関の調査によると、同期間中に実際の攻撃環境（In the wild）で悪用が確認された脆弱性は495件にとどまり、そのうち116件は脆弱性の情報が公表された当日にすでに攻撃を受けていたという。
また、AIモデルによる脆弱性探索の規模を示すデータとして、AI研究企業Anthropicの開示情報が紹介されている。同社の「Mythos」クラスのモデルがオープンソースソフトウェアから検出した脆弱性候補は2万6,153件に達したものの、実際に開発元（アップストリーム）でパッチが適用されて修正に至ったのは421件であった。
これらの数値から、記事では「High」や「Critical」といった深刻度評価を受けた脆弱性のすべてを一律に緊急事態として扱う運用モデルは現実的ではなく、どの資産に対するどの露出に対処すべきかを選別することが重要になっていると指摘している。
深刻度を示す「CVSS」と組織固有の環境におけるギャップ
脆弱性の危険度を測る指標として広く使われているCVSS（共通脆弱性評価システム：脆弱性の深刻度を点数化する共通基準）について、記事では共通のベースラインを示す指標にすぎず、個々の組織に与える影響の文脈までは判断できないと説明している。
同じCVEであっても、対象のシステムが外部ネットワークから到達不能である場合や、途中のセキュリティ制御によって攻撃手法が遮断される場合がある。一方で、事業上重要な基幹システムにおいて防御が機能せず、検知もされない状態で露出しているケースもある。そのため、自組織の環境でその脆弱性が実際に悪用可能な状態にあるか、影響を受ける資産が事業上重要であるかといった固有の証拠（エビデンス）が必要になるとされている。
ペンテストのカバー率における制約と課題
実際の攻撃経路を確かめる手段として自動化されたペンテスト（侵入テスト：擬似攻撃を行って弱点を検証する手法）が存在するが、現実の運用ではカバー範囲に制限があることが示されている。
調査会社Omdiaのレポートによると、95%の組織がペンテストを優先度の高い取り組みとして位置付けているにもかかわらず、年間で実際にテストされている攻撃対象領域（アタックサーフェス）は平均で32%にとどまっているという。
自律型エージェントなどの導入によってテスト範囲を広げることは可能であるものの、CVEに基づく検証には実際に動作するエクスプロイト（攻撃用プログラム：脆弱性を悪用する実証コード）が必要となる。また、公開されたばかりでエクスプロイトが存在しない脆弱性や、業務停止のリスクがある基幹システム、外部から隔離されたエアギャップ環境（ネットワークから物理的に切り離された環境）などでは、安全にライブ攻撃を実行できない制約が存在すると述べられている。
3つの検証手法を統合した運用フレームワーク
こうした検証の空白を埋める手段として、元記事では異なる3つの検証手法を1つのプラットフォームに統合する運用モデルが紹介されている。
- 悪用可能性検証（Exploitability validation）: エクスプロイトが存在しないCVEや、安全上の理由でライブテストが実施できない資産を含め、環境内で悪用が成立するかどうかを判定する。
- セキュリティ制御検証（Security control validation）: 導入済みの防御・検知コントロールが、攻撃を実際に遮断または検知できているかをテストする。
- エージェント型ペンテスト（Agentic pentesting）: 実際のエクスプロイトを安全に実行し、脆弱性や認証情報の連鎖を通じて攻撃者がネットワーク内をどこまで進行できるかを可視化する。
これら3つの手法を個別のワークフローとして分断させず、1つのプログラムとして統合運用することで、検出された脆弱性に応じて必要な検証を実施し、得られたエビデンスに基づいて対応の優先順位を更新し、修正後の再検証までを一貫して行えるようになるとしている。
なお、調査会社Gartnerが2026年5月に発行したリサーチノートにおいても、検証された攻撃経路の把握や意思決定に基づいた対応、露出の削減を日常の運用ワークフローに統合していく方向性が示されているという。