脆弱性（ぜいじゃくせい／Vulnerability）

脆弱性（ぜいじゃくせい／Vulnerability）とは、OSやソフトウェア、Webサイトなどに存在する、セキュリティ上の欠陥や弱点のことです。プログラムの設計ミスや作り込みの不備が原因で生じることが多く、悪意のある第三者に悪用されると、不正アクセスや情報漏えいなど深刻な被害につながるおそれがあります。

現実世界に例えると、脆弱性は家の壁にできた、目立たない小さなひび割れのようなものです。普段の生活では気づきにくくても、そこを知っている悪い人に見つかってしまうと、簡単に侵入を許してしまう入り口になってしまいます。

脆弱性が生まれる原因

脆弱性の多くは、プログラムを作る際の設計ミスや、想定外の操作に対するチェック漏れから生まれます。開発時には問題がなくても、後になって新しい攻撃手法が編み出され、それまで安全だった部分が弱点として発覚するケースも少なくありません。

脆弱性がもたらす主なリスク

ゼロデイ脆弱性とは

脆弱性の中でも特に危険とされるのが、対策方法がまだ用意されていない状態で発見された「ゼロデイ脆弱性」です。修正プログラムが公開される前に攻撃が行われることもあり、利用者側での防御が難しいという特徴があります。

脆弱性への主な対策

もっとも基本的な対策は、OSやソフトウェアを常に最新の状態に更新し、修正プログラム（パッチ）を適用することです。ソフトウェアの提供元は脆弱性が見つかるたびに修正版を公開しているため、更新を後回しにせず速やかに適用する習慣が重要です。

脆弱性診断という取り組み

企業などでは、専門家が意図的にシステムへの侵入を試み、弱点を洗い出す「脆弱性診断」が行われることもあります。攻撃を受ける前に自ら弱点を把握しておくことで、被害を未然に防ぐ狙いがあります。診断結果をもとに優先順位をつけて修正を進めることで、限られた時間や人手でも効率よく安全性を高めることができます。

脆弱性情報の公開と管理

発見された脆弱性には、「CVE」と呼ばれる共通の識別番号が割り振られ、世界中の関係者が同じ情報を参照できるようになっています。企業のシステム管理者は、こうした公開情報を日頃から確認し、自社の環境に影響する脆弱性がないかをチェックする必要があります。

利用者としてできること

脆弱性への対応は開発者や管理者の役割が中心ですが、利用者側も更新の通知を先延ばしにせず、案内に従って速やかに適用することが被害を防ぐうえで大切です。日頃からの小さな心がけが、思わぬトラブルを避ける確実な備えになります。

あわせて知っておきたい用語

• ゼロデイ攻撃：
  修正方法が公開される前の脆弱性を狙う攻撃です。
• パッチ：
  脆弱性などの不具合を修正するためのプログラムです。
• マルウェア：
  脆弱性を悪用して送り込まれる悪意のあるソフトウェアです。
• ペネトレーションテスト：
  攻撃者の視点でシステムの弱点を洗い出す診断手法です。
• SQLインジェクション：
  入力欄の脆弱性を突いてデータベースを操作する攻撃です。