用語集・脆弱性と診断
脆弱性
Vulnerability
脆弱性（Vulnerability）は、OSやソフトウェア、機器、運用の手順などにある、攻撃者に悪用されうる弱点である。
別の呼び方 ぜいじゃくせい、セキュリティホール、弱点
要点
- 意味 脆弱性（Vulnerability）は、OSやソフトウェア、機器、運用の手順などにある、攻撃者に悪用されうる弱点です。
- 中小企業にとって 脆弱性が残ったVPN機器や公開サーバーは、攻撃者が社内へ入る最初の入口になる。
- このサイトでは 攻撃手法 2 種、事例 2 件のページと関わります。下の一覧から、記録のどこに関わるかを読めます。
中小企業にとっての意味
脆弱性が残ったVPN機器や公開サーバーは、攻撃者が社内へ入る最初の入口になる。
一度直しても新しい脆弱性は次々に見つかるため、使っている機器とソフトの一覧を持ち、更新情報を追い続ける必要がある。
まずインターネットに面した機器とサーバーを洗い出し、そこから優先して更新するのが小さな組織でも取れる第一歩である。
よくある誤解
- 誤解脆弱性はソフトウェアの不具合だけの話で、設定や運用は関係ない
- 実際NISTの定義は、システムだけでなく手順や内部統制、実装の弱点も脆弱性に含めている。推測しやすいパスワードのような運用上の弱点も悪用の対象になる。
- 誤解一度アップデートすれば当分は安心である
- 実際脆弱性は塞いでも新たに見つかり続けるため、更新情報を常に集めてできる限り速く更新し続ける必要がある。
このサイトの手口と事例との関係
関係は、それぞれのページに収録した記録の範囲で書いています。
- 攻撃手法VPN・エッジ機器の脆弱性悪用
修正プログラムが未適用のVPN機器などの脆弱性を突いて最初に侵入する手口であり、脆弱性が社内全体への入口になる典型例である。
- 攻撃手法ゼロデイ攻撃
修正プログラムがまだない脆弱性を突く手口であり、脆弱性が見つかってから直るまでの空白が狙われる。
- 事例GMOリサーチ&AI「infoQ」
記録はサイトで使っていたソフトウェアの脆弱性を悪用されて侵入されたと説明しており、脆弱性情報の把握とパッチ適用の迅速化が挙げられている。
- 事例岡山県精神科医療センター
記録はVPN装置の脆弱性が設置以降修正されず、推測できるIDとパスワードも使われていたとしており、ソフトの欠陥と運用の弱点の両方が脆弱性になった例である。
出典
- 脆弱性とは？（国民のためのサイバーセキュリティサイト） 総務省
- vulnerability - Glossary | CSRC NIST
- ソフトウェアの最新化・脆弱性管理（国民のためのサイバーセキュリティサイト） 総務省
最終確認日 （2026年10月24日）
監修 平原尚樹（株式会社BlueAI 代表取締役CEO、ソフトウェアエンジニア、Google Cloud Architect）