用語集・脆弱性と診断
パッチ
Patch
パッチ（Patch）は、見つかった不具合や脆弱性を直すためにメーカーが提供する修正プログラムである。
別の呼び方 修正プログラム、セキュリティ更新、アップデート、パッチ管理
要点
- 意味 パッチ（Patch）は、見つかった不具合や脆弱性を直すためにメーカーが提供する修正プログラムです。
- 中小企業にとって 公表済みの脆弱性を直さずに残すと、攻撃者は公開された情報をもとに狙えるため、侵入の入口になりやすい。
- このサイトでは 攻撃手法 1 種、事例 4 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
公表済みの脆弱性を直さずに残すと、攻撃者は公開された情報をもとに狙えるため、侵入の入口になりやすい。
止められないサーバーの更新を先延ばしにすると、攻撃を受けたときに長期間の業務停止につながりうる。
まずVPN機器や公開サーバーなど外に面したものの更新担当と手順を決め、適用したかどうかを確かめるところまでを決まりにするとよい。
よくある誤解
- 誤解止められない基幹サーバーは、更新を後回しにしてもやむを得ない
- 実際総務省は、止められないことを理由に更新を先延ばししたサーバーが攻撃を受け、長期間の業務停止に至りうるとして、安易な先延ばしをしないよう求めている。
- 誤解パッチが出ていない間は打つ手がない
- 実際修正プログラムが出るまでの間は、メーカーなどが示す一時的な回避策を当ててシステムを守り、修正が出たら速やかに適用する。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法VPN・エッジ機器の脆弱性悪用
修正プログラムが未適用のVPN機器などを突く手口であり、パッチの適用がこの入口をふさぐ基本の対策に当たる。
- 事例Equifax
記録は公開済みのApache Strutsの脆弱性を修正しないまま使い続けて突かれたとしており、対策にパッチ適用の確認が挙げられている。
- 事例名古屋港
記録はVPN機器と物理サーバの公表済み脆弱性が未対応だったとしており、対策に脆弱性の速やかな修正が挙げられている。
- 事例岡山県精神科医療センター
記録はVPN装置の脆弱性が2018年の設置以降修正されず、閉域網だから安全という思い込みで院内のWindows Updateも行われていなかったとしている。
- 事例関通
記録はVPN装置経由で侵入されたとしており、対策としてVPN装置の脆弱性管理と速やかな更新が挙げられている。
出典
- ソフトウェアの最新化・脆弱性管理（国民のためのサイバーセキュリティサイト） 総務省
- SP 800-40 Rev. 4 Guide to Enterprise Patch Management Planning NIST・2022-04
- Reducing the Significant Risk of Known Exploited Vulnerabilities CISA
- patch - Glossary | CSRC NIST
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）