脆弱性悪用の猶予は48時間以下へ ― 「残存時間」でパッチ管理を考える
Executive Summary
CrowdStrikeは2026 Threat Hunting Reportで、2026年上期に同社が観測した公開PoCのある脆弱性の悪用の88%が、PoC公開後48時間以内に行われたと報告しました。一部の中国関連アクターでは、公開・開示から24時間以内に攻撃へ移った事例も示されています。1
重要なのは「すべての脆弱性を48時間以内にパッチする」ことではありません。現実には停止制約、検証、OT、サプライチェーンなどで即時更新できないシステムがあります。必要なのは、実悪用・公開PoC・外部露出・資産重要度・代替統制を組み合わせ、危険な脆弱性が無防備に残る時間を管理することです。
なぜ今なのか
従来の脆弱性管理は、月次パッチ、CVSSの高い順、期限内の修正率といった「処理件数」の管理になりがちでした。しかし攻撃準備が時間単位に短縮されると、月次サイクルでは初動が間に合わない対象が増えます。
CrowdStrikeの88%という数字は同社の観測範囲に基づくもので、全脆弱性・全組織にそのまま一般化できる統計ではありません。それでも、公開PoCが出た外部公開資産を何日も放置することのリスクが以前より大きいという方向性を示す材料にはなります。
8月25日にはMicrosoftも「Patch Window is Collapsing」と題し、DiscoveryとRemediationの間をPatchだけで埋める従来Modelでは間に合わない場面が増えているとして、Patch適用までのGapをNetwork / Exposure Control等で保護する考え方を提示しました。これは独立した脅威統計ではなくVendor側のArchitecture提案ですが、「Patch SLA」だけでなく「Patchまで何で守るか」を設計する方向が業界側でも明確になっています。
「48時間」の意味を誤解しない
| 誤解 | 実際の読み方 |
|---|---|
| 全CVEの88%が48時間以内に悪用される | CrowdStrikeが観測した「公開PoCのある脆弱性の悪用」の88% |
| 全パッチを48時間以内に適用すべき | 実悪用・露出・重要度に応じて緊急対象を絞る |
| CVSSが高いものから直せばよい | 悪用状況、PoC、KEV、EPSS、露出、資産価値を組み合わせる |
| パッチ適用だけが対策 | WAF、隔離、機能停止、ACL、認証強化など代替統制も時間を稼ぐ |
「残存時間」で管理する
脆弱性の経営リスクは、単に「脆弱性が存在するか」ではなく、攻撃可能な状態で何時間・何日残るかで変わります。
この考え方では、KPIも「パッチ適用率」だけでなく、危険度の高い状態が残った時間へ変わります。
経営インパクト
| 観点 | 従来 | 今後の重点 |
|---|---|---|
| KPI | 月内の修正率 | 高リスク露出の残存時間 |
| 優先順位 | CVSS中心 | KEV / EPSS / PoC / Exposure / Asset |
| 組織 | IT部門中心 | SOC・CSIRT・インフラ・事業部の即応連携 |
| 例外 | 延期理由を記録 | 期限、代替統制、残余リスクを経営判断 |
| OT/Legacy | 更新困難で保留 | 隔離・通信制御・監視で時間を稼ぐ |
日本企業への示唆
日本企業では、パッチ適用に変更審査、業務影響確認、ベンダー保証などが必要なケースが多く、単純な「48時間SLA」は現実的でないことがあります。そこで、全資産を同じ期限で管理するのではなく、緊急トリアージを48時間以内に完了するという設計が現実的です。
たとえば、外部公開か、CISA KEV掲載か、PoCがあるか、EPSSが高いか、特権経路に接続しているか、事業停止影響が大きいかを短時間で判断し、パッチ・遮断・緩和のどれを採るか決めます。
推奨アクション
- 外部公開資産を常時把握する — VPN、Edge Device、管理UI、クラウド公開サービスを優先する。
- 48時間以内の「判断SLA」を設ける — パッチ適用ではなく、緊急度・対応方法・責任者を決める時間を短縮する。
- KEV / EPSS / PoC / Exposure / Assetを統合する — CVSS単独の優先順位から移行する。
- 代替統制を標準化する — WAF、ACL、機能停止、ネットワーク隔離、認証強化、追加監視の選択肢を事前に用意する。
- 残存時間を経営指標にする — P1脆弱性の中央値・95パーセンタイル、期限超過例外、外部露出時間を追跡する。
好意的・批判的に見ると
好意的な見方では、攻撃速度を時間軸で捉えることで、パッチ件数では見えなかった本当の露出を経営へ説明しやすくなります。
慎重な見方では、「48時間」という数字だけをSLA化すると、低リスク資産にも過剰な緊急対応を強制し、現場を疲弊させます。観測母集団やPoCの有無という条件を外して数字だけを独り歩きさせないことが重要です。
用語解説
PoC (Proof of Concept)
脆弱性が悪用可能であることを示す検証コード。公開されると攻撃者が再利用しやすくなる場合があります。
KEV (Known Exploited Vulnerabilities)
CISAが実悪用を確認した脆弱性を掲載するカタログ。
EPSS (Exploit Prediction Scoring System)
脆弱性が近い将来に悪用される確率を推定するスコア。
関連記事
参考情報
- CrowdStrike, 2026 Threat Hunting Report: AI is Now Embedded Across Modern Adversary Operations (2026-08-03)
- CrowdStrike, 2026 Threat Hunting Report: Exploitation Window Closes as AI Use Accelerates
- CISA, Known Exploited Vulnerabilities Catalog
- FIRST, Exploit Prediction Scoring System (EPSS)
- Microsoft Azure, The patch window is collapsing: Why security needs a new control plane (2026-08-25)