この記事の要点
- Googleの脅威インテリジェンスグループ（GTIG）によると、月間の脆弱性の公表件数は2026年1月の5,045件から8月には10,740件と、約2倍になった
- 背景にはAIによる脆弱性発見の広がりがある。米国の専門家は、古いソフトに積み上がった「技術的負債」のツケを払う時が来たと表現している
- ただし実際に悪用が確認されたのは、2026年に公表された脆弱性の0.23%（約431件に1件）。「全部直す」より「危ないものを選んで速く直す」ほうが現実的
- 一方、悪用された脆弱性の62%は修正版がない段階で狙われる「ゼロデイ」。パッチだけでは守りきれず、侵入に気づく仕組みも欠かせない
- 経営者が決めるべきなのは、脆弱性対応を一時的な対応ではなく常設の業務として予算化すること、古いソフトの期限、そして「誰が直すのか」の責任分担
2026年10月、ウェブサイトを動かすプログラム言語「PHP」の重大な脆弱性をきっかけに、国内外の企業や自治体がサイトの停止や緊急更新に追われました（「ブラックオクトーバー」の振り返り）。同じ月、Googleの脅威インテリジェンスグループ（GTIG）は、脆弱性の発見と悪用がAIによって目に見えて変わり始めたとする分析を公表しています。
10月の騒ぎは、たまたま重なった不運ではありません。脆弱性が見つかる量と速さが一段上がり、その状態がこれからも続く。本記事ではこれを「大脆弱性時代」と呼び、何が起きているのかを数字で整理したうえで、中小企業の経営者が何を決めておくべきかを考えます。
数字で見る「大脆弱性時代」
GTIGは2026年10月15日、2025年1月から2026年8月までに公表された脆弱性を分析した結果を公表しました（Google Cloud ブログ）。主な数字は次のとおりです。
| 項目 | 変化 | 補足 |
|---|---|---|
| 月間の脆弱性公表件数 | 5,045件（2026年1月）→ 10,740件（同8月） | 約2倍。番号を割り当てる組織の自動化で件数が膨らんでいる面もあるとGTIGは注記している |
| GTIGが「高リスク」と評価した公表件数 | 131件（2026年1月）→ 350件（同8月） | 167%増。ただし全体に占める割合は約3% |
| 悪用が確認された脆弱性 | 月平均10.5件（2025年）→ 月平均18件（2026年1〜8月） | 2026年は8か月で141件と、2025年1年間の127件をすでに超えた |
| 悪用されたゼロデイ脆弱性 | 月平均8件（2025年）→ 月平均11件（2026年1〜8月） | 8月は22件に急増。悪用された脆弱性の62%がゼロデイ |
| AIに関係するソフトの脆弱性 | 累計2,076件 | 2026年1〜8月だけで1,500件超。AIエージェントなどを組み立てる部分が半数を占める |
日本の報道でも、2025年に見つかった脆弱性は1年間で約4万8000件にのぼると伝えられています（日経クロステック）。2026年はそれを大きく上回るペースです。GTIGは、脆弱性の発見と悪用は「短中期的に増加し続ける」と予測しています。
なぜ脆弱性が急に増えたのか
1. AIが「見つける側」に加わった
最大の要因は、AIが脆弱性探しに本格的に使われ始めたことです。10月のPHPの脆弱性も、うち1件は米OpenAIのAIモデルを使って見つかったと報じられています（AFP）。Anthropicも、25のオープンソースプロジェクトのコードをAIで分析し、493件の問題を見つけたと公表しました（既報）。PHPの開発を支えるPHP財団は、ツールによって防御側と攻撃側の双方が、かつてない速さでバグを見つけるようになったと述べています（既報）。
GTIGの分析では、AIが見つけた脆弱性は、外部からプログラムを実行される「リモートコード実行」につながるものがちょうど50%を占めました。脆弱性全体では26%です。AIは数を増やしているだけでなく、深刻な種類の脆弱性を見つけていることになります。
2. 古いソフトの「技術的負債」が表に出てきた
オバマ政権でホワイトハウスのサイバーセキュリティ調整官を務めた、Cyber Threat Alliance代表のマイケル・ダニエル氏は、PHPの事例を「かなり混乱した時期の始まり」と表現しました。これまで古いソフトを使い続けるほうが経済的とされ、そのリスクがコストとして十分に考慮されてこなかったとして、積み上がった「技術的負債」のツケを払う時が来たと指摘しています。元米国家安全保障局（NSA）のロブ・ジョイス氏は、この状況を古いソフトを一掃する「大規模な森林火災」にたとえました（AFP）。
何年も前に書かれ、誰も細かく見直してこなかったコードが、AIの目で一斉に洗い直されている。今起きているのは、そういうことです。
3. AIそのものが新しい攻撃の入口になった
脆弱性が増えているのは、古いソフトだけではありません。GTIGによると、AIに関係するソフトの脆弱性は累計2,076件に達し、AIエージェントなどを組み立てる部分の公表件数は2026年に347%増えました。AIのモデルを動かす基盤の脆弱性212件のうち、約4分の1は認証のない窓口などに起因するものでした。10月には、AIアプリの開発で広く使われる「LiteLLM」の配布物に不正なプログラムが混入する事件も起きています（既報）。業務でAIを使い始めた企業にとっては、守るべき範囲が広がったことになります。
発想の転換：「全部直す」から「選んで速く直す」へ
毎月1万件の脆弱性が公表される時代に、すべてに対応することはできません。ここで注目したいのが、GTIGの次の数字です。
- 2026年に公表された脆弱性のうち、実際に悪用が確認されたのは0.23%（約431件に1件）
- 悪用された脆弱性の62%はゼロデイ（修正版が出る前、または公表と同時に狙われたもの）
一つ目の数字は、本当に急いで直すべきものは一握りだということを示しています。インターネットから届くか、実際に悪用されているか、認証なしで攻撃できるか。こうした物差しで選べば、対応すべき数は大きく絞れます。別の調査でも、見つかった脆弱性のうち実際に修正されるのはごく一部にとどまるという結果が出ています（既報）。だからこそ、限られた手間を「危ないもの」に集中させる必要があります。
二つ目の数字は、パッチだけでは守りきれないことを示しています。修正版が出る前に攻撃が始まる以上、どれだけ速く更新しても間に合わない場面は必ずあります。その間に侵入されたことに気づき、被害を広げないための監視が、パッチと並ぶもう一本の柱になります。
GTIGも、優先順位をつけずに一括でパッチを当てるやり方から、脅威の情報にもとづいて優先順位をつける方法へ移行すべきだと提言しています。
経営者が決めておくべき5つのこと
現場の具体的な備え（資産の一覧、更新の自動化、管理画面を外に出さないなど）は、ブラックオクトーバーの記事で整理しました。ここでは、現場任せにせず経営として決めるべきことに絞ります。
1. 脆弱性対応を「臨時の出費」から「常設の業務」にする
緊急パッチが出るたびに担当者が残業で対応する、という形はもう続きません。更新の確認と適用、影響の調査、委託先への問い合わせを、毎週回る業務として人と予算を割り当てることが出発点です。社内で人を割けない場合は、更新の自動化ツールや外部の運用サービスにかかる費用を、毎年の固定費として見込んでおく必要があります。
2. 古いソフトや機器に「期限」を切る
サポートが終わったソフトは、次の脆弱性が見つかったときに直す手段がありません。10月のPHPの脆弱性でも、サポートが終わった8.1以前には修正版が出ませんでした。PHP 8.2のサポートも2026年12月31日に終わります。古いシステムは「まだ動くから使う」のではなく、いつまでに置き換えるかを経営判断として決め、それまでの代わりの守り方も決めておくことが大切です。置き換えの費用は、ダニエル氏の言う「技術的負債」の返済そのものです。
3. 「誰が直すのか」を契約で明確にする
自社サイトの運用を制作会社に任せている、業務システムをベンダーに保守してもらっている――中小企業ではよくある形です。しかし、緊急パッチが出たときに誰が、何日以内に当てるのかが契約に書かれていないケースは少なくありません。保守契約や委託契約に、重大な脆弱性への対応期限と、影響の有無を報告する義務を盛り込んでおきましょう。自社で直す負担を減らしたい場合は、ベンダー側が更新を担うクラウドサービス（SaaS）に移すことも、有力な選択肢になります。
4. 「止める」権限を先に渡しておく
修正が間に合わないとき、サービスを一時的に止めることが最も確実な守りになる場合があります。10月には、国内でも予防のためにサイトを止めた組織が相次ぎました（既報）。止める判断が社長の帰りを待つようでは間に合いません。どんな条件なら、誰が止めてよいのかを事前に決め、担当者に権限を渡しておくことが、経営者にしかできない備えです。
5. 守る側もAIと自動化を使う
攻撃側がAIで速くなる以上、守る側も人手だけで追いつくことはできません。GTIGは、脅威の情報にもとづく優先順位づけ、外部との境界にある機器の守りの強化、自動での修復を組み合わせることを提言しています。自社でソフトを開発している企業には、公開する前にAIでコードを点検することも勧めています。中小企業であれば、更新を自動で配る仕組みや、AIを使った監視サービスを取り入れることが現実的な第一歩です。
中小企業は不利なのか
攻撃者は、会社の規模ではなく、穴の開いた機器やサイトを機械的に探して狙います。「うちは小さいから狙われない」は通用しません。一方で、中小企業には、守るべきシステムの数が少なく、決める人が近いという強みもあります。資産の一覧を作る、古いものを置き換える、契約を見直す、止める権限を渡す――どれも大企業より速く進められることです。
脆弱性が増えること自体は、長い目で見れば悪いことではありません。見つかった穴は直せるからです。問題は、直す速さより見つかる速さが上回る「移行期」をどう乗り切るかです。
よくある質問
Q. 「大脆弱性時代」は、いつまで続くのですか？
分かりません。GTIGは、脆弱性の発見と悪用は短中期的に増え続けると予測しています。一方で、開発の段階でAIによるコードの点検が当たり前になれば、公表件数の伸びはいずれ鈍る可能性があるとも述べています。少なくとも当面は、脆弱性が途切れなく見つかる状態を前提にしておくべきです。
Q. 脆弱性の件数が2倍になったなら、対応の手間も2倍になりますか？
必ずしもそうではありません。実際に悪用が確認されるのは公表された脆弱性のごく一部です。自社が使っているもの、インターネットから届くもの、悪用が確認されたものに絞れば、対応すべき数は限られます。大切なのは、その「絞り込み」を素早くできる状態にしておくことです。
Q. すべてクラウドサービスに移せば、脆弱性の心配はなくなりますか？
なくなりはしませんが、軽くはなります。サーバーやソフトの更新はサービス事業者が担うため、自社で直す範囲は小さくなります。ただし、IDとパスワードの管理、設定の誤り、社員のPCなど、自社で守るべき部分は残ります。契約でどこまでを事業者が担うのかを確認しておくことが大切です。
Q. 社内に詳しい人がいません。何から始めればよいですか？
まずは、インターネットに公開しているサイトや機器、使っているソフトの一覧を作ることから始めてください。一覧があれば、注意喚起が出たときに影響の有無を判断できます。一覧作りや優先順位づけが難しい場合は、外部の脆弱性診断や運用サービスを利用するのも一つの方法です。
まとめ：脆弱性は「なくす」ものから「付き合う」ものへ
AIによって、脆弱性は見つかる量も速さも一段上がりました。これは10月だけの出来事ではなく、これから続く時代の前提です。脆弱性をゼロにすることは、もう目標になりません。
大切なのは、危ないものを選んで速く直し、直しきれない間は侵入に気づいて被害を抑え、古いものは期限を決めて置き換えることです。そして、そのための人、予算、権限、契約を決められるのは経営者だけです。「大脆弱性時代」に問われているのは、技術よりも、会社としての決め方なのかもしれません。
あわせて読みたい
大脆弱性時代のパッチ運用を、人手に頼らない「仕組み」に
サイバーセキュリティ総研の「FastPatch（NinjaOne MSP）」は、端末の可視化からパッチの自動配信、失敗時の自動再試行、結果のレポートまでを一つの運用サイクルとして代行するサービスです。Windows・Mac・Linuxを一元管理でき、1台から契約できます。月に一度のまとめ更新から、重要度に応じて数日単位で回す運用への切り替えを支援します。
参照：Google Cloud ブログ「AI 時代の脆弱性の発見と悪用の傾向」（Google Threat Intelligence Group、2026年10月15日）／AFPBB News「AIによる脆弱性発見が加速、専門家「混乱期の始まり」」（2026年10月25日）／日経クロステック「2025年の脆弱性は4万8000件 本当に危険なのは58件」（2026年6月19日）／PHP「PHP 8.5.12 / 8.4.27 / 8.3.36 / 8.2.35 Released」（2026年10月21日）／The PHP Foundation「Today’s PHP security release and how we’re strengthening PHP security」