数字で見るサイバー脅威2026:6分に1件の新たな脆弱性、パッチより先に来るエクスプロイト

2018年には、脆弱性が公開されてから最初の攻撃が始まるまで、平均で63日かかっていました。今日、この数字はマイナス7日です。いいえ、誤植ではありません——攻撃者は平均して、ベンダーがパッチを出す1週間前から穴の悪用を始めているのです。そしてその間にも、世界の公開カタログには平均して約6分に1件のペースで新たな脆弱性が書き加えられています。💥

私は仕事柄、脅威インテリジェンスのレポートによく目を通します——半分は業務として、半分は職業的な好奇心からです。そして以前から、そこに出てくる数字が、多くの人の頭の中で一つの全体像として組み上がっていない、という印象を持っていました。どの数字もバラバラに独り歩きしているからです:こちらでは誰かがCVEのグラフを投稿し、あちらでは誰かがAI製フィッシングの割合を貼り付ける。そこで私は、ゲームの盤面がどれほど変わったかを最もよく示すデータを一か所に集めることにしました——どれだけの脆弱性が見つかっているのか、それがどれほど速く武器になるのか、大手はどれだけの穴を塞いでいるのか、私たち自身がどれだけ新しいバグを生産しているのか、そしてAIがそのすべてに何を上乗せしているのか、です。

テーマにはアカデミックな几帳面さで臨みます:本稿のすべての数字には出典と年が付いています。そして最後には——これらのデータからあなたの会社のために直接導かれる、6つの結論を用意しました。

目次

1. どれだけの脆弱性が見つかっているのか——なぜ記録は毎年更新されるのか
2. 脆弱性から攻撃までの時間:63日からマイナス7日へ
3. ソフトウェアの穴を突く攻撃が雪崩式に増加:2年で侵入の14%から31%へ
4. 巨人たちはどれだけの穴を塞いでいるのか——Microsoft、Googleとその仲間たち
5. これだけのバグはどこから?AIは私たちが守るより速くコードを書く
6. AIがもたらす新たな脅威:フィッシング、ディープフェイク、自動操縦の侵入
7. 数字で見るポーランド:1日700件超のインシデント
8. ではどうするか——データから直接導かれる6つのこと
9. FAQ

どれだけの脆弱性が見つかっているのか——なぜ記録は毎年更新されるのか

非エンジニアの方向けに手短に説明します:CVEとは、世界共通の公開脆弱性カタログのことです——ソフトウェアで公表された穴の一つひとつに固有の番号(例:CVE-2026-12345)が付き、誰もが同じバグについて同じ言葉で話せるようになっています。

そしてこのカタログは、5年前の私なら「ありえない」と一蹴したであろうペースで成長しています:

• 2022年: 25,084件の新規脆弱性
• 2023年: 29,066件(+16%)
• 2024年: 40,313件(+39%)
• 2025年: 48,449件(+20%)
• 2026年(8月19日時点): すでに53,803件——年末まで4か月半を残して、記録ずくめだった2025年の通年をもう上回っています。これがまさに、約6分に1件の新たな脆弱性というペースです。

(数字はcvedetails.com、NVDデータベースの公開日ベース、2026年8月19日時点。別の集計方法——例えばJerry Gamblin氏の年次「CVE Data Review」——でも値の差は1%未満で、方向はどこでも同じです。)

FIRST——脆弱性のリスク評価システムの開発などを手がける組織——は、2026年の新規CVEを59,400件と予測していましたが、6月に予測を約66,000件へと引き上げました。その理由の一つとして、AI支援による脆弱性の発見を明確に挙げています。数字が食い違わないよう、記録者としての小さな正直さを一つ:この予測は夏の加速が始まる前、6月に作られたもので、53,803件というカウンターは8月19日時点の値です——年末の値ではありません。現在のペース(1日あたり230件超の新規CVE)でいけば、2026年は85,000件近くで着地する計算になります。予測が現実に追いついていない、それだけのことです。おまけに「危うく倒れかけた」系の逸話も:2025年4月、MITREへの資金提供の失効でCVEプログラムは停止寸前まで行きました——契約が延長されたのは文字どおり期限前夜です。欧州はここから教訓を引き出し、ENISAがNIS2の傘の下で動く独自データベースEUVDを立ち上げました。

さて、パニックにならないための最重要ポイントです:この雪崩のうち、実際に悪用されているのはごく一部にすぎません。 Cyentia InstituteとFIRSTの調査によれば、攻撃での悪用の痕跡が何かしら確認されているのは、公開された全CVEの約6%です。2026年上半期の35,000件の脆弱性のうち、実際に悪用されている脆弱性のリスト(米CISAのKEVカタログ——これについては後ほど)に載ったのは……85件、つまり0.24%でした。

教訓その1: 年間48,000件の穴をすべて塞げる者はいません——あなたにも、管理者を1,000人抱える大企業にも無理です。そして、その必要もありません。勝つのはすべてを塞ぐ者ではなく、自分の穴のうちどれが本当に攻撃されているかを知り、そこから先に閉じる者です。問題は、その判断に残された時間がどんどん短くなっていること——これについては次のセクションで。

脆弱性から攻撃までの時間:63日からマイナス7日へ

Time-to-exploit(TTE)とは、脆弱性の公開から、実際の攻撃で最初に悪用されるまでの平均時間です。Google Mandiantが長年これを測定しており、このデータ系列は私にとって業界全体で最も重要なグラフです:

• 2018〜2019年: 63日
• 2020〜2021年半ば: 44日
• 2021〜2022年: 32日
• 2023年: 5日
• 2024年: −1日
• 2025年: 約−7日(M-Trends 2026レポートによる推計)

時間がマイナスになるとはどういうことでしょうか?理屈は単純で、それだけに恐ろしいのです:悪用される脆弱性に占めるゼロデイ——ベンダーがその存在すら知らない、つまりパッチがまだ影も形もない段階で、攻撃者が見つけて悪用する穴——の割合が、どんどん大きくなっています。Google Threat Intelligence Groupは2025年、攻撃で悪用されたゼロデイを90件数えました(前年は78件)。うち企業向け製品の割合は過去最高の48%——皮肉なことに、そこにはセキュリティシステムそのもの、つまりVPN、ファイアウォールをはじめとするエッジ機器が含まれています。

もっとも、理由はゼロデイだけではありません。パッチギャッピング(patch gapping)も効いています:オープンソースプロジェクトでは、修正が正式リリースの数日前から公開コードリポジトリで見えてしまうことがあります——攻撃者は変更点を比較してバグを再現し、ユーザーにアップデートが届くより先にエクスプロイトを書き上げるのです(ChromeのV8エンジンで古典的に繰り返されてきたパターンです)。さらに、協調的な脆弱性開示のプロセスそのものもあります:パッチが出る前の時点で、穴のことは報告した研究者、ベンダーのチーム、ときには事前通知を受けるパートナーまでが知っており——そのどの環も、過去にリークの発生源になったことがあります。そしてベンダーが脆弱性を知るきっかけが、進行中の攻撃の検知だったというケースも珍しくありません——パッチとCVE番号が生まれるのはその後ですから、最初の悪用の日付は定義上「ゼロ日目」より前に来るのです。

では、パッチが出た後は?それでも安心はできません:

• VulnCheckによれば、2025年に悪用が確認された脆弱性の29%は、CVE公開の当日かそれ以前に攻撃されていました。
• Palo Alto Unit 42は、CVE公表から15分で、脆弱なシステムを探すインターネットスキャンが始まるのを観測しています。
• 「人間スケール」で私のお気に入りの例:Cloudflareは、JetBrains TeamCityの出たての穴への攻撃試行を、proof-of-conceptコードの公開から22分後に記録しました。22分では進捗確認のミーティングすら終わりません。パッチの展開など、なおさらです。
• エッジ機器(VPN、ファイアウォール——インターネットに「突き出て」いるものすべて)について、Verizon DBIRが示す大規模悪用までの時間の中央値は:0日です。

バリケードの反対側、守る側のペースはこうです:実際に悪用されているリストに載った脆弱性を企業が完全に塞ぎ終えるまでの中央値は43日(DBIR 2026)——しかも、完全にパッチされる脆弱性はそもそも26%だけです。その結果?今年のDBIRレポートでは、調査19年の歴史で初めて、脆弱性の悪用が企業への初期アクセス経路の第1位となり(侵入の31%)、盗まれたパスワードを王座から引きずり下ろしました。

そして侵入後のスピードをもう一つ:CrowdStrikeが測定した2025年の平均ブレイクアウトタイム——最初に乗っ取ったマシンから攻撃者がネットワーク内へ「広がる」までの時間——は29分でした。最速記録は:27秒です。

これをライブで眺めたい方は、zerodayclock.comを覗いてみてください——実際に悪用された3,500件超の脆弱性のデータ(CISA KEV+VulnCheck)を集約したダッシュボードです。Mandiantとは独立した測定で、サンプルも方法論も別——それでいて、指す方向はまったく同じです:2018年の脆弱性では攻撃までの平均時間は2.3年でしたが、2026年の脆弱性ではすでにマイナス23時間です(2026年8月19日時点)。中央値は1週間と1日の壁をすでに突破し、1時間の壁は2027年頃に破られる見込みです。時計の針はどんどん速くなっています——文字どおりの意味で。

教訓その2: 「パッチ適用の猶予期間」という概念は消滅しました。平均すると攻撃はパッチより先に始まり、企業は数分で攻撃されるものを数週間かけて塞いでいます。だからこそ、パッチ計画と並んで、パッチがまだ存在しない状況のための計画が必要です:露出の削減、セグメンテーション、そして検知。ブレイクアウトが30分なら——30分以内に侵入者が見えなければ、次に見えるのは請求書の上です。

ソフトウェアの穴を突く攻撃が雪崩式に増加:2年で侵入の14%から31%へ

脆弱性が記録的なペースで増え、エクスプロイトまでの時間がマイナスになったのなら、それは実際の侵入の統計にも表れているはずです。そして実際、表れています——インシデントに関する大規模データセットはどれも同じ方向を示しています:ソフトウェアの脆弱性の悪用こそ、今もっとも速く成長している、企業への入り口なのです:

• Verizon DBIR(約22,000件の確認済み侵害):脆弱性悪用の割合は14%(2024年版)から20%(2025年)、そして31%(2026年)へと急上昇——2年で2倍超となり、盗まれたパスワードとフィッシングを抑えて、レポート19年の歴史で初めて経路の第1位になりました。
• IBM X-Force 2026:インターネットに公開されたアプリケーションの悪用が、対応したインシデントの40%に到達——最多の原因で、前年比+44%です。
• Google Mandiant:エクスプロイトが6年連続で侵入経路の首位(同社の対応チームが扱った事案の32%)。
• Coalition(サイバー保険会社):ランサムウェア関連の保険金請求の58%は、エッジ機器(VPN、ファイアウォール)の乗っ取りから始まっています。これはDBIRとも符合します——DBIRではエッジ機器への攻撃が前年比8倍に増えました。
• CrowdStrike:公開PoCコードのある脆弱性では、観測された悪用の88%がコード公開から48時間以内に発生。公表前に悪用されたゼロデイの数は前年比42%増でした。

この雪崩の燃料は、本稿で読んできたことのすべてです:記録的な脆弱性の供給、マイナスのtime-to-exploit、数分でエクスプロイトを組み上げるAI——そして、その性質上インターネットに晒されて立っているエッジ機器。多くの場合MFAもなく、EDR——侵入者を検知するソフトウェアで、こうした閉じた「箱」にはそもそもインストールできません——もなく、その代わりネットワーク全体への権限だけは持っている、という代物です。

公平を期すために、正直に言っておきます:ソーシャルエンジニアリングが減ったわけではありません。 フィッシングは一定水準を維持しつつ(DBIRで約16%、Unit 42で22%)、形を変えています——ビッシング(CrowdStrike調べで前年比+134%)、偽CAPTCHAページ(+563%)、ヘルプデスクへの電話など。また中小企業セクターのデータ(Sophos)では、今もインシデントの67%の根っこはアイデンティティです。そこでは攻撃者はエクスプロイトなど使わず、ただログインするだけだからです。ポイントは、エクスプロイトがソーシャルエンジニアリングに追いつき、全経路の中で最速で成長していること——今日の企業は、両方の前線を同時に守らなければならないのです。

教訓その3: 最も勢いがあるのはエクスプロイト側です。エッジ機器や公開アプリケーションを持っているなら、パッチ適用のスピードとテストがあなたの最優先事項です——理由はまさに教訓その2で述べたとおり。ただし、その費用をMFAや手続きの予算から捻出してはいけません:ソーシャルエンジニアリングは手を緩めたのではなく、チャネルを変えただけです。攻撃者は必ず、あなたの2つの前線のうち安上がりな方を選びます。

巨人たちはどれだけの穴を塞いでいるのか——Microsoft、Googleとその仲間たち

私はこの視点が好きです。「ちゃんとしたソフトウェアにはバグなどない」といまだに信じている人に、いちばん効くからです。それでは、金で買える最高のセキュリティチームを抱えた、世界で最も裕福な企業たちを見てみましょう:

• Microsoftは毎月のPatch Tuesdayで、2024年に1,020件、2025年に1,139件の脆弱性を修正しました(Zero Day Initiativeの集計による)。うちゼロデイは41件です。そして2026年はさらに記録を更新中:7月だけで570件、8月に約400件の修正です。興味深いことに、Microsoft自身が、この雪崩の一部はAIベースの脆弱性探索を行う社内システムの成果だと認めています——機械は人間より速くバグを見つけるのです。
• Google Chrome——あなたが今この記事を読んでいるブラウザ——は、2025年に約250件の脆弱性の修正を受けました。うち8件は攻撃で実際に悪用されていたゼロデイです。2026年にはGoogleもバグ探しにAIを投入しました:Chromeの連続する3リリースで合計1,442件のセキュリティバグを修正し、Geminiベースのエージェントは、コードの中に13年間潜んでいたサンドボックスの穴などを発見しました。Googleはあわせて、発見が人間に届く前に誤検知をふるい落とす、独立した批評家エージェント(クリティック)を備えたエージェントシステムについても説明しています。
• Mozilla(Firefox)——4月のリリースだけで423件のセキュリティバグを修正しました。2025年を通じての典型値は月20〜30件です。うち271件はClaude Mythos Preview(名称はMozillaの技術ブログ記事そのまま)の支援で発見されました。Firefox CTOの正直なコメントはこうです:AIは、一流の人間の研究者に見つけられないものは何一つ見つけていない——ただし、週に1件のペースではなく、まとめて一括で見つけてきた、と。
• Linuxカーネル——カーネルチームは約30時間で432件のCVEを公開しました(2026年7月19〜20日)。公平のために言うと:カーネルはCVEをかなり気前よく発番します(セキュリティに影響しうる修正のすべてに付与)。つまり432件のクリティカルな穴というわけではありません——それでも、この流量の規模には圧倒されます。
• Oracle——7月の四半期一括パッチ(Critical Patch Update)は、1,235件のユニークなCVEをカバーする約1,450件のセキュリティパッチでした。それ以前の四半期は309〜481件。3か月で4倍超のジャンプです——Oracleは理由を説明していませんが、パターンは他社とまったく同じです。
• Appleも例外ではありません:2026年8月17日の小さな「ポイント」アップデートにすぎないiOS 26.6.1が、42件の脆弱性を修正しています(大半はSafariのエンジンであるWebKit)。「動いているんだからアップデートは不要」なはずの電話の、これが今日のルーチン更新の姿です。
• CISA KEV——米国のCISAが管理する、実際の攻撃で悪用されていることが確実な脆弱性のカタログ(名前の由来:Known Exploited Vulnerabilities)——は現在1,674件を数え、うち245件が2025年に追加されました。パッチ適用はまずここから始めるべき、例の短いリストがこれです。

これらの個別の事例に、全体をまとめる指標が重なります。Epoch AIは、21の最大手テック組織(MicrosoftからApacheプロジェクトまで)が公開した深刻度「高」および「クリティカル」のCVEを集計しました:2026年7月はその数が約2,500件——Claude Mythos Previewの4月の発表以前の月間記録(約490件)の、おおよそ5倍です。どの組織もグラフの形は同じです:何年も平坦、そして突然の壁。

そしてここで大事な正直さを一つ:これらの穴を書いたのはAIではありません。 書いたのは人間です——何十年もかけて。これは業界全体の技術的負債であり、腕の立つ研究者の手にあるAIが、今それを一括返済し始めているのです。とても良いニュース……ですが、防御側の塹壕から見えるひっかかりが3つあります:

• リグレッションのリスク: 1つの製品に数百件分のパッチを適用して、何も壊さずに済ませるには?テスト環境、適用順序、ロールバック計画なしには——不可能です。
• 日常化: また今週も、また数百件の修正。アラート疲れは実在するメカニズムです——そして、たまたまKEVリストに載ったあの1件を見逃すだけで十分なのです。
• 拡大する非対称性: 攻撃者は穴が1つあれば十分、防御側はすべてをさばかなければなりません。AIは穴の供給量とスピードを両陣営で押し上げました——ただし、選り好みできるのは攻撃者の方です。

教訓その4: 予算が無尽蔵のMicrosoft、Google、Appleが自社製品で年間1,000件超の穴を塞いでいるのなら——外注先が半年で書き上げた、あなたの会社のアプリが安全かどうか、答えは想像がつくでしょう。ソフトウェアのバグは恥ではありません。数学であり統計です。恥が始まるのは、あなたの側でそのバグを誰も積極的に探していないときです——そのとき最初の「テスター」になるのは犯罪者だからです。そして2026年版の、この教訓の新しい後半:修正が数百件単位で届く以上、セキュリティを左右するのは更新プロセスでもあります——テスト、順序、ロールバック。AIはCVEを吐き出す自動機械ではありません。AIが最も強くするのは、何を探すべきかを知っている者です。あなたの側にも、そういう人がいるようにしてください。

これだけのバグはどこから?AIは私たちが守るより速くコードを書く

脆弱性の発見側で記録が更新され続けているのなら、公平のためにこう問うべきです:では、私たちは新しいバグをどれだけ作り込んでいるのか?ここで2025年は、すべてのCTOの机の上に貼っておくべき2つの研究をもたらしました:

Veracodeは、既知のセキュリティの落とし穴を仕込んだ80のプログラミング課題で、100以上のAIモデルをテストしました。結果:課題の45%は、脆弱性を含むコードに行き着きます——それもOWASP Top 10(アプリケーションで最も多いバグを集めた、業界の「ヒットチャート」のようなリストです)に載る類のものです。Javaではこの割合が70%を超えます。そして最も興味深いのは:新しいモデルになるほど、構文的にはきれいなコードを書くようになる——のに、安全性は少しも向上していないことです。

Apiiroは大企業の数万のコードリポジトリを分析し、AIに支援された開発者は3〜4倍のコードを納品する——しかしセキュリティ上の問題は10倍生み出すことを突き止めました。AI由来のコードでは、権限昇格の経路(つまり一般アカウントから管理者に成り上がる方法)の数が322%増加しました。AIはタイポや構文エラーは見事に排除してくれます——その代わり、アーキテクチャとロジックのバグ、つまり一目では見えないタイプのバグを量産するのです。

ループを閉じましょう:FIRSTが2026年のCVE予測を引き上げた理由の一つに挙げているのが……AI支援による脆弱性の発見です(GitHub Security Advisoriesへの報告だけでも前年比449%増)。つまり:AIは脆弱なコードをより多く書き、AIは他人のコードからより多くの脆弱性を見つけ出し、私たち人間は相変わらず同じパッチ予算を握って真ん中に立ち尽くしている、というわけです。 蜂蜜をひとさじ:VulnCheckによれば、AIの発見に帰される1,000件超の脆弱性のうち、実際に攻撃で悪用されたのは今のところ1.3%です。今のところは。

教訓その5: プログラミングにおけるAIはショベルカーです:基礎を掘るのも、落とし穴を掘るのも速い。あなたのチーム(あるいは外注先)がコーディングにAIを使っているなら——使っていますよ、本人たちが否定していてもね 😈——セキュリティレビューとテストは、リリース後の一回きりのイベントではなく、開発プロセスの一部でなければなりません。

AIがもたらす新たな脅威:フィッシング、ディープフェイク、自動操縦の侵入

攻撃の量は何年も前から増え続けています:Check Pointの集計では、平均的な組織は2025年に週あたり1,968件の攻撃を防いでいました——2年前より70%多く、2026年7月にはカウンターは2,336件へ跳ね上がりました。しかし、職業人として私が最も面白い(そして最も恐ろしい)と感じる新しさは、数そのものではありません。新しいのは質と自動化です:

フィッシングを書いているのはもうAIであって、「ナイジェリアの王子」ではありません。 KnowBe4は今年のレポートで、フィッシング攻撃の86%がAIに支援されていると評価しています。Harvard Business Reviewで紹介された研究では、AIが完全に生成したフィッシングに参加者の60%が引っかかりました——人間のソーシャルエンジニアリングの専門家が書いたメッセージと同率です。「言葉の間違いで詐欺を見抜く」時代は、決定的に終わりました。

ディープフェイクはオフィスに入り込みました。 Entrustは、自社の本人確認システムのデータに基づき、Identity Fraud 2025レポートで、ディープフェイクを使った詐欺の試みが平均5分に1回起きていると推計しています。象徴であり続けているのは、2024年初頭の設計事務所Arupの事件です。これは都市伝説ではありません:香港警察がインシデントを確認し、会社自身も偽造された音声と映像が使われたことを認めています。従業員は、自社のCFOと同僚たちのディープフェイクが出席するビデオ会議の後、合計2,560万ドルの送金を15回実行しました。怪しいリンクはクリックしていません。上司たちを「自分の目で」見たのです。

侵入は自動操縦へ移行しつつあります。 この十数か月で文書化された、3つのマイルストーンを挙げます:

• 「バイブハッキング(vibe hacking)」:Anthropicは、一人の犯罪者がAIエージェントを使い、1か月で17組織に対するデータ窃取と恐喝を実行した作戦を報告しました——AIが偵察を行い、認証情報を収集し、被害者の財務を分析し、「最適な」身代金を算出したのです(要求額は最大50万ドル)。一人だけのAPTグループです。
• 主にAIが遂行した初のスパイ活動キャンペーン:2025年11月、Anthropicは国家に関連する作戦を公表しました。約30の標的への攻撃において、AIエージェントが作業の80〜90%を実行し、人間が判断を下したのはキャンペーン全体で4〜6か所だけでした。
• PromptLock——ローカルAIモデルで駆動する、初めて知られたランサムウェア(ESETが検出。幸い、ニューヨーク大学(NYU)の研究プロジェクトだと判明しました——しかしコンセプトはすでに公開されています)。加えてHexStrike-AIのようなフレームワークもあり、そのリリース後、犯罪者たちは出たての脆弱性の悪用にかかる時間を「数日から10分未満へ」短縮できたと自慢していました。

仕上げに、新装版のクラシックを:ランサムウェアです。2025年にはリークサイトで7,458社の被害企業(前年比+30%)のデータが公開され、新たな犯罪グループは73組増えました。自動化は、労働市場のダークサイドでも参入障壁を下げたのです。

教訓その6: AIは新しいタイプの攻撃を一つも発明していません。もっと悪いことをしました:攻撃からコストと時間を取り除き、その質を、「注意深い従業員」がもはや防御にならないレベルまで引き上げたのです。注意深さは、人間が自分の目と耳を信じてしまったときでも機能する手続きに置き換えられなければなりません——詳しくは「ではどうするか」のセクションで。

数字で見るポーランド:1日700件超のインシデント

最後に、私のホームであるポーランドの数字も見ておきましょう——これがシリコンバレーだけの話ではないことが分かるはずです:

• CERT Polskaは2025年に658,320件の報告を受理し、260,783件のユニークなインシデントを記録しました——前年比152%の増加です。これは1日700件超のインシデントに相当します。首位はフィッシングと詐欺(インシデントの97%)。犯罪者が最も多くなりすましたのはOLX(28,500件)とAllegro(22,500件)——いずれもポーランドの大手マーケットプレイスです。2026年もペースは落ちていません:7月だけでCERTは31,200件のインシデントを記録し(前年比+12%)、危険なドメインの警告リストは1月から158,000件も増えました。
• Check Pointによれば、平均的なポーランドの組織はこの1年で週あたり1,854件の攻撃を防いでいました(前年比+15%)——欧州平均をわずかに下回るものの、方向は同じです。
• KPMGの「サイバーセキュリティ・バロメーター2026」(中堅・大企業100社を対象とした調査)では:ポーランド企業の96%が、2025年に少なくとも1件のセキュリティインシデントを経験しました。この調査9年の歴史で最高記録です。
• では耐性の方は?「サイバーセキュリティ——トレンド2026」レポート(Xopero)では、高いまたは非常に高いサイバーレジリエンスを自認する企業はわずか29%で、64%はサイバー保険に入っていません。

教訓その7: この2つの数字を並べれば、すべてが語られています:インシデントを経験した企業は96%、高い耐性を自認する企業は29%。「自分は攻撃されるのか」という問いは、統計的にはすでに決着済みです。開いたままの問いは別の2つ:あなたはそれに気づけるのか、そしてそれはいくらつくのかです。

ではどうするか——データから直接導かれる6つのこと

グラフだけ見せて終わりにはしません。以下の各項目は、上の数字から直接導かれるものです——空理空論は一切なしで:

1. インターネットに「突き出て」いるものを棚卸ししましょう。 エッジ機器の大規模悪用までの時間の中央値は0日、2025年のゼロデイのほぼ半分は企業向け機器——VPNとファイアウォール——を狙っていました。インターネットから見える自社システムの最新リストを持っていなければ、攻撃者があなたの代わりに作ってくれます(ご記憶のとおり、15分で)。
2. 数ではなくリスクでパッチしましょう。 年間48,000件のCVEに対して、実際に悪用されているリスト(KEV)への新規追加は245件。クリティカルかつインターネットに露出しているものは24〜72時間以内に。残りはプロセスとして管理を。現に攻撃されている穴のパッチに中央値43日というのは、今日ではトラブルを自ら招いているようなものです。
3. パッチがない時間のための計画を持ちましょう。 平均time-to-exploitがマイナスである以上、攻撃の一部は定義上パッチより先に来ます。サービスの露出を減らし、ネットワークをセグメント化し、非常用の遮断スイッチを用意しておきましょう(「ビジネスを殺さずに、1時間以内に何を切り離せるか?」)。
4. 壁だけでなく、検知に投資しましょう。 ブレイクアウトタイムは29分、犯罪者間でのアクセスの受け渡しは22秒で済むことがあります。夜間や週末にも実際にアラートを見ている監視体制(自前のSOCでも、MDRサービスでも——会社の規模に合うものなら何でも)は、もはや大企業だけの贅沢品ではなくなりました。
5. ディープフェイクに耐える手続きを。 60%の人がAI製フィッシングに引っかかり、「ビデオ越しの社長」が生成物でありうる以上——非定型の送金や取引先の口座変更を、一人の人間だけで完結できるようにしてはいけません。既知の番号への折り返し電話、第二の承認、限度額。退屈ですか?その退屈こそが、何百万も救うのです。
6. 誰かにやられる前に、自分でテストしましょう。 MicrosoftやGoogleが年間1,000件も穴を塞いでいるのは、誰かが積極的に探しているからです。あなたの規模でまさにその役割を果たすのが、ペネトレーションテスト(あなたのシステムへの管理された攻撃で、終了後に穴のリストとその塞ぎ方が手に入ります)やバグバウンティプログラムです。あなたの規模でいくらかかるのか知りたければ——私の料金計算ツールで2分で見積もれます。話す方がよければ:ご連絡ください。

FAQ

2025年には何件の脆弱性(CVE)が発見されましたか?

新規CVEは48,449件です(cvedetails.com、NVDデータベースによる。他の集計では48,200〜49,900件)。2026年は、カウンターが8月19日の時点で前年通年を突破しました(53,803件)。FIRSTによる2026年通年の予測:約66,000件です。

time-to-exploitとは何ですか?現在どのくらいですか?

脆弱性の公開から、攻撃で最初に使われるまでの平均時間のことです。Google Mandiantの調査によれば、63日(2018〜2019年)から2025年には約マイナス7日まで縮みました——ゼロデイの割合が増えているため、攻撃は平均するとパッチ公開前に始まっています。

犯罪者は公開されたばかりの脆弱性をどのくらいの速さで悪用しますか?

CVE公表から約15分以内にインターネットのスキャンが始まります(Unit 42)。悪用が確認された脆弱性の約29%は公開当日かそれ以前に攻撃されており(VulnCheck、2025年)、エッジ機器では大規模悪用までの時間の中央値が0日です(Verizon DBIR)。

ソフトウェアの脆弱性を突く攻撃は本当に増えているのですか?

はい、全経路の中で最速で増えています:Verizon DBIRでは脆弱性悪用の割合が2年で侵入の14%から31%に上昇し(レポート史上初の第1位)、IBM X-Forceではすでにインシデントの40%です(前年比+44%)。一方でフィッシングも消えてはいません(DBIRで16%、Unit 42で22%)——ビッシングやClickFixへと形を変えているだけなので、両方の前線を本気で守る必要があります。

AIが書くコードは安全ですか?

デフォルトでは安全ではありません。Veracode:AIモデルが実行したプログラミング課題の45%は、脆弱性を含むコードに終わります。Apiiro:AIを使うチームは3〜4倍のコードを書きますが、セキュリティ上の問題は約10倍生み出します。

なぜ2026年には記録的な数の脆弱性が修正されているのですか?

バグ探しにAIが投入されたからです。Mozillaは4月のリリースで423件のバグを修正し(通常は月20〜30件)、うち271件はClaudeの支援で発見しました。Chromeは2つのリリースで1,072件を修正。Oracleは1四半期で約1,450件のパッチを出しました。Epoch AIによれば、最大手21組織による深刻なCVEの数は2026年7月に約2,500件に達しました——AIエージェント時代以前の記録の約5倍です。

ポーランドの企業は週に何件の攻撃を防いでいますか?

1組織あたり平均で週1,854件です(Check Point、2026年8月、前年比+15%)。CERT Polskaは2025年に260,783件のインシデントを記録しました——1日700件超です。

まとめ

これらの数字はすべて、一つの物語を語っています:かつて週単位で測っていたレースを、今日は分単位で測っている——そして所によっては、時間はマイナスになった、という物語です。脆弱性は史上最速のペースで増え、エクスプロイトはパッチを追い越し、AIは攻撃のコストをほぼゼロまで下げ、その一方でポーランド企業の96%はすでにインシデントを経験済みです。良いニュースはひねりが効いています:実際に攻撃される脆弱性がごく一部である以上、勝つのは最大の予算を持つ者ではなく、自分の地形を知り、リスクに基づいてパッチし、侵入者を数か月ではなく数分で見つける者なのです。これは学べるものです——そして、あらゆる良いセキュリティ計画はここから始まります。✔️

そして、攻撃者の視点からあなたの会社がどう見えるのかを確かめたくなったら——私を見つける場所は、もうお分かりですね。

本稿で使用したデータの出典

• cvedetails.com — 年別CVE統計(2026年8月19日時点);Jerry Gamblin — 「CVE Data Review」(jerrygamblin.com)
• FIRST — Vulnerability Forecast 2026(2026年2月および6月)
• Google Mandiant — 「Time-to-Exploit Trends」(2024年)および「M-Trends 2026」
• Google Threat Intelligence Group — 「2025 Zero-Days in Review」(2026年3月)
• VulnCheck — 「State of Exploitation」(2026年1月および7月)
• Verizon — Data Breach Investigations Report 2024–2026
• IBM — X-Force Threat Intelligence Index 2025および2026;Sophos — Active Adversary Report 2025および2026;Palo Alto Unit 42 — Global Incident Response Report 2025および2026
• Coalition — Cyber Threat Index 2025;ENISA — Threat Landscape 2025;Red Canary — Threat Detection Report 2026
• Cloudflare — Application Security Report 2024
• CrowdStrike — Global Threat Report 2026
• Cyentia Institute & FIRST — 「A Visual Exploration of Exploitation in the Wild」(2024年)
• Zero Day Initiative / Tenable — Patch Tuesday総括 2024〜2026;Apple — セキュリティリリース(iOS 26.6.1、2026年8月)
• Mozilla Hacks — 「Behind the scenes: hardening Firefox」(2026年5月);Google Security Blog — 「Stronger with every update」(2026年7月)
• Epoch AI — 「Disclosed CVEs: July Reached 5× the Pre-Mythos Record」(2026年7月)
• Oracle — Critical Patch Update July 2026;The Register — 「Linux kernel team publishes 432 CVEs in two days」(2026年7月)
• Zero Day Clock(zerodayclock.com)— 悪用データのアグリゲーター(CISA KEV+VulnCheck)
• Veracode — GenAI Code Security Report 2025;Apiiro — AI生成コードの分析(2025年)
• Check Point Research — 2025〜2026年の各レポート;KnowBe4 — Phishing Threat Trends 2026
• Anthropic — 脅威インテリジェンスレポート(2025年8月および11月);ESET — PromptLock(2025年)
• Entrust Identity Fraud Report 2025;Searchlight Cyber — ランサムウェア2025
• CERT Polska — 年次レポート2025および2026年7月の月次まとめ;KPMG — Barometr cyberbezpieczeństwa 2026;Xopero — 「Cyberbezpieczeństwo — Trendy 2026」;WEF — Global Cybersecurity Outlook 2026