攻撃者と企業の「1000対1の速度差」がもたらすリスク、AIによる脆弱性急増で注目される「対処までの空白期間」

要点

• AIなどの進化により脆弱性の発見スピードが加速する中、発見から修正完了までの時間差である「エクスポージャーウィンドウ」がセキュリティの重大なボトルネックとなっている。

• 攻撃者が侵入から本格的な攻撃を開始するまでの平均時間が29分に短縮されているのに対し、最も厳しい業界基準でも修正に30日の猶予を認めており、1000倍以上の速度差が生じている。

• ガートナーが提唱する脅威管理フレームワーク「CTEM」のうち、修正の実行を担う「モビライゼーション」段階が組織の承認手続きや複雑さによって遅れることが主な要因である。

• 2026年には新規脆弱性（CVE）の登録数が6万6000件に達すると予測されており、従来のパッチ適用率などの指標から、攻撃者に対抗する時間ベースの評価指標への転換が求められている。

• 米Anthropic社が2026年4月7日に脆弱性発見AI「Mythos」を発表して以降、セキュリティ業界では自動化による脆弱性検出数の爆発的な増加が懸念されてきた。しかし、The Hacker Newsの2026年7月20日付の報道によると、本当に防御の成否を分けるのは脆弱性の数ではなく、脆弱性が悪用可能になってから修正されるまでの期間である「エクスポージャーウィンドウ（露出時間）」だという。同メディアは、攻撃者の急激なスピード向上に対し、企業の対応体制が追いついていない現状を指摘している。

攻撃者と企業の「1000倍の速度ギャップ」

クラウドストライクが発表した2026年のグローバル脅威レポートによると、サイバー犯罪グループが侵入後に攻撃を本格化させるまでの平均時間（eCrime breakout time：サイバー犯罪グループが侵入後に攻撃を本格化させるまでの平均時間）は2025年にわずか29分にまで短縮された。これは、攻撃者が企業ネットワークに侵入してから、別のシステムへ横展開するなどの実質的な被害をもたらすまでの時間が、わずか30分未満になっていることを意味する。

一方で、最も厳格な業界標準とされるPCI DSS（クレジットカード業界のセキュリティ基準）ですら、重要な脆弱性の修正期限として30日間の猶予を与えている。この間には約1000倍の差があり、攻撃者の行動に対して企業の対応はあまりにも遅い。この時間差こそが「エクスポージャーウィンドウ」であり、この窓が開いている時間が長ければ長いほど、攻撃者がシステム内で自由に活動できる隙を与えることになる。

ボトルネックとなる「モビライゼーション（組織的対応）」の壁

ガートナーが提唱する「CTEM（継続的な脅威エクスポージャー管理：脆弱性などのリスクを継続的に評価・管理する手法）」フレームワークでは、スコープ定義、発見、優先順位付け、検証、モビライゼーションの5段階が定義されている。

このうち、最初の3段階や検証の段階は機械による自動化が進み高速化しているが、最後の「モビライゼーション（組織的な修正対応の実行）」だけは依然として企業内の申請や調整といった「組織のスピード」にとどまっている。脆弱性を発見するセキュリティチームと、実際にシステムを修正するシステム運用チームの間で、優先順位の不一致や承認手続き、メンテナンス時間の確保といった組織的な複雑さが、対応を遅らせる要因となっている。

急増するCVEと政府の動き

2025年には48,185件のCVE（共通脆弱性識別子：個別の脆弱性に割り当てられる一意の識別番号）が公開され、これは2024年比で22%の増加だった。さらに2026年には約66,000件に達すると予測されている。多くのセキュリティチームはすでに、この膨大な脆弱性の修正作業のバックログ（未処理のタスク）に追われている。

米国サイバーセキュリティ・インフラセキュリティ庁（CISA：米国の政府機関）は、連邦政府機関向けに指令「BOD 26-04（Binding Operational Directive 26-04：CISAが連邦機関に対して発令したセキュリティ指令）」を出し、単なる評価スコア順の対応から、実際の悪用可能性や資産の重要度に応じた優先順位付けへの移行を求めている。しかし、この方針転換も「どの脆弱性を先に修正するか」を決めるためのものであり、組織が実際に修正作業を開始する速度自体を上げるものではないため、根本的な解決には至っていない。

現実に潜む修正の遅れとパッチのないリスク

Edgescanの統計レポートによると、企業における高リスクおよび重大な脆弱性の修正には平均して55日かかっており、ほぼ半数の脆弱性が1年以上経過しても未適用のまま放置されている。レガシーシステム（旧式のシステム）やOT（制御技術：工場や社会インフラなどの物理的な設備を制御する技術）環境、生産設備などでは、システム停止が事業に与える影響が大きいため、パッチ適用が先送りにされやすい。

さらに、過剰な権限設定やキャッシュされた認証情報といった「アイデンティティ（身元・権限情報）の露出」には、そもそも適用するパッチ自体が存在せず、所有チームが曖昧なまま放置されるケースも多い。

評価指標の転換：プロアクティブチームも時間軸の測定へ

これまで、セキュリティ組織は事後対応を行うSOC（セキュリティオペレーションセンター：脅威の検知や対処を専門に行う組織）と、事前に防御を固めるプロアクティブなチームに分かれていた。

SOCは攻撃者の侵入から検知までの時間や対処までの平均時間を追跡してきた。一方で、脆弱性管理（VM）チームやクラウドセキュリティチーム、ネットワークセキュリティチームといったプロアクティブなチームは、脆弱性の深刻度別のパッチ適用率や、設定ミスの修正にかかる時間などを追跡してきた。しかし、攻撃者が数十分単位で侵入を果たす現在、プロアクティブなチームもまた、攻撃者のタイムラインに対抗できる時間ベースの迅速な対応へと評価指標をシフトさせる必要性に迫られている。