Microsoft脆弱性分析：38万件中0.5%しか悪用されない「優先パッチ」の判断軸

—

Microsoft脆弱性分析：38万件中0.5%しか悪用されない「優先パッチ」の判断軸

脆弱性は毎月大量に開示される。しかし実際に攻撃者が選んで悪用するのは、ごく一部だ。Microsoftが2026年11月2日に公開したセキュリティブログの分析は、その「ごく一部」がどのような特徴を持つかを、過去27年分のデータで可視化した（cybersecuritynews.com、gbhackers.comが報道）。日本の情報システム担当者やCISOが「何を先に塞ぐか」という優先判断を下すうえで、見逃せない知見が含まれている。

パッチ前の悪用をどう検知し優先度を付けるかは、AI脆弱性管理の自動化で解説しています。

関連記事AIが企業の脆弱性を爆速で発見する時代のセキュリティ対策

Microsoftが示した数字：悪用される脆弱性は38万件中0.5%

分析の対象は1999年から2026年9月までに開示されたCVE、約38万3000件。そのうち実際に悪用が確認されたのは2056件、全体の約0.5%にとどまる（gbhackers.com、cybersecuritynews.com）。

この数字は一見、楽観的に映る。だが問題は「残り99.5%は安全」という読み方ではなく、「攻撃者が選ぶ0.5%には明確な構造がある」という点にある。その構造を把握しないままCVSSスコア順にパッチを当てていくアプローチは、攻撃者の実際の行動パターンと噛み合わない可能性が高い。

さらに深刻な事実がある。VulnCheckが2026年1月21日に公開した「State of Exploitation 2026」によれば、2025年に初めて悪用が確認された脆弱性のうち約29%が、CVE公開日以前にすでに悪用されていた（ITmedia掲載）。パッチ公開を待ってから動くという姿勢は、相当数のケースですでに通用しない。これは「パッチ管理の速度」ではなく「パッチ前の検出・封じ込め能力」そのものが問われる局面が存在することを示している。

悪用される脆弱性の共通点：「システム乗っ取り型」が突出して選ばれる

分析によれば、悪用が確認されたCVEの78%が「システム乗っ取り型」の脆弱性、すなわちリモートコード実行（RCE）・認証バイパス・ローカル権限昇格のいずれかに分類される（gbhackers.com、cybersecuritynews.com）。

個別に見ると、全開示比率と悪用確認比率の乖離が顕著だ。サーバーサイドRCEは全開示の20%を占めるにすぎないが、悪用確認では37%に達する。ローカル権限昇格も全体の11%から悪用では18%へ上昇する。クライアントサイドRCEは全体の4%だが、悪用では13%に跳ね上がる（gbhackers.com、cybersecuritynews.com）。

対照的に、XSSは全開示の15%から悪用の4%へ大幅に下がり、DoSは16%から7%へ低下する（gbhackers.com）。攻撃者はシステムの制御を奪い、横断的に侵害を広げられる脆弱性を優先して選ぶ。単に「壊す」より「乗っ取る」ことを志向している構造が、数字に明確に表れている。

対象コンポーネントにも偏りがある。OSおよびシステムコードは全開示の23%だが、悪用では41%を占める（gbhackers.com、cybersecuritynews.com）。攻撃者がアプリケーション層よりも基盤層を狙う傾向が、データにはっきりと示されている。

パッチ適用の遅延が「攻撃の窓」を開ける：デバイス種別の実態

技術的な優先度の整理と同時に見落とされがちなのが、パッチ適用速度の問題だ。Microsoft Security Exposure Managementが2026年に公表したデータによれば、パッチ適用までの中央値はデバイス種別によって大きく異なる（gbhackers.com、cybersecuritynews.com）。

表：デバイス種別ごとのパッチ適用中央値（Microsoft Security Exposure Management、2026年）

デバイス種別	パッチ適用中央値	主なリスク
Windowsワークステーション	約2週間	クライアントサイドRCE・権限昇格
Windows Server	1か月超	サーバーサイドRCE・横断侵害
LinuxサーバーおよびmacOSアプリ	10週超	長期露出・検知困難
ネットワーク機器	1年超	ファームウェア更新の困難さ・境界侵害の起点化

ネットワーク機器のパッチ適用が1年超という数字は、日本企業の現場感覚と一致する部分が多い。VPNアプライアンスやファイアウォールのファームウェア更新は、ベンダーの検証スケジュール・保守契約の制約・可用性要件によって大幅に遅延しやすい。しかしネットワーク機器上のRCEや認証バイパスは、攻撃者にとって初期侵入の起点として最も価値が高い。この組み合わせ——「適用ラグが最も長い機器」と「攻撃者が最も好む脆弱性類型」——が実際のインシデントで繰り返し登場する構図だ。

なお、LinuxサーバーについてはWindowsと比較してパッチ管理ツールの統合度が低い環境も多く、10週超という数字の背景にはツール整備の格差があると考えられる。macOSについては、企業内での管理対象端末としての整備状況によって差が生じやすい。

日本企業が今すぐ設けるべき優先パッチ対処の判断軸

Microsoftの分析が示す知見を日本企業の実務に落とし込むと、パッチ優先度の判断基準は四つの軸で整理できる。

第一軸：脆弱性の種別
RCE（特にサーバーサイド）・認証バイパス・ローカル権限昇格の三類型を最優先とする。CVSSスコアが同水準であっても、DoS単体やXSSよりこれらを先に処理する判断が、実際の攻撃パターンに整合する。CVSSスコアは深刻度の「可能性」を示すが、現実の悪用頻度と必ずしも対応しない点がMicrosoftの分析で明確になった。

第二軸：対象コンポーネントの基盤性
OS・システムコードおよびネットワーク機器の脆弱性は、全開示比率に比べて悪用比率が大幅に高い。アプリケーション層のパッチより基盤層を先行させる優先付けが、データに裏付けられている。

第三軸：侵害後の横断被害の範囲
サーバー上の過剰権限IDやクラウド管理IDが侵害された場合、被害は単一システムにとどまらず横断的に拡大する可能性がある。最小権限の原則が徹底されていない環境では、RCE・権限昇格系の脆弱性を放置するコストが著しく高くなる（gbhackers.com、cybersecuritynews.com）。稟議や予算確保の際には、「単一資産の侵害リスク」ではなく「横断被害の最大範囲」を試算して提示することが、意思決定者の判断を促しやすい。

第四軸：パッチ適用ラグへの補完的対策
ネットワーク機器のような適用ラグが長いカテゴリに対しては、パッチ単体の対策に頼らず、ネットワーク分離・アクセス制御強化・ログ監視を組み合わせた多層防御を検討する価値がある。VulnCheckのデータが示すとおり、約29%のケースでCVE公開前に悪用が始まっている現状では（ITmedia掲載）、パッチ管理プロセスの高速化と並行して、パッチ適用前の検出・封じ込め能力の整備が実務上の優先課題と考えられる。

APIキーなどの認証情報漏えいはCVSSスコアが低く評価されやすいが、後続の侵害経路になり得る点は留意が必要だ（gbhackers.com、cybersecuritynews.com）。単体では軽微でも、RCEや権限昇格と組み合わさることで被害が一気に拡大する連鎖を見落とさないことが重要だ。

重要な限界として、Microsoftの今回の分析はMicrosoftが観測・収集できた範囲に基づく。全世界の攻撃動向を網羅するものではなく、特定の攻撃グループや標的型攻撃に特有のパターンは反映されていない可能性がある。自社の業種・保有資産・脅威プロファイルに照らした独自の優先度評価と組み合わせて用いることが望ましい。

---

参考文献

• GBHackers, “Only 0.5% of 383,000 CVEs Have Been Exploited in the Wild, Microsoft’s Analysis Reveals” — https://gbhackers.com（2026年11月報道）
• CybersecurityNews, “Microsoft’s Analysis: Only 0.5% of All CVEs Get Exploited” — https://cybersecuritynews.com（2026年11月報道）
• VulnCheck, “State of Exploitation 2026″（2026年1月21日）— ITmedia掲載: https://www.itmedia.co.jp