NIST National Vulnerability Databaseには年間31,800件以上の新しいCVE脆弱性が登録されており、48.5%がHighまたはCritical深刻度と評価されているものの、実環境で実際に悪用されているのはわずか4.2% (CISA KEV) に過ぎず、攻撃者の自動ボットネットは14分以内に新規CVEのスキャンを開始し、企業が重大な欠陥にパッチを適用するには平均58.0日を要しています。 侵害の86%はパッチがすでに提供されている既知のN-day脆弱性を悪用しており、Windows/ChromiumのCVEの70%をメモリ安全性バグが占める一方で、EPSSモデルはパッチのトリアージ工数を-82%削減し、Log4jのような過去の脆弱性はダウンロードの34%に残り続けています。以下のデータは、NIST NVD、MITRE、CISA、FIRST.org、Qualys、Google Project Zeroによって公開された実証研究に基づいています。
TL;DR
- 年間31,800件以上の新しい共通脆弱性識別子 (CVE) が登録されている (1日平均87件の新規CVE)
- 公開された全CVEソフトウェア脆弱性の48.5%がHighまたはCritical深刻度 (CVSS 7.0〜10.0) に分類される
- 1999年にMITREが制度を創設して以来、累計275,000件以上のCVE脆弱性がカタログ化されている
- 公開された全CVEのうち、実環境での積極的な兵器化および悪用が確認されているのはわずか4.2%である (CISA KEVカタログ)
- 攻撃者の自動ボットは、新しく公開されたCVEに対して平均わずか14分でインターネット全体の一斉スキャンを開始する
- 脆弱性に起因する企業侵害の86.0%は、すでにパッチが利用可能であった既知のN-day脆弱性を悪用している
- EPSSモデルを使用して脆弱性修復の優先順位付けを行うと、不要なパッチ適用工数を-82.0%削減できる (FIRST.org)
- 企業のCritical深刻度CVE脆弱性に対する平均修復時間 (MTTR) は平均58.0日である (Qualys)
- Critical深刻度CVEの42.0%は、Webブラウザエンジンおよびペリメータネットワーク機器 / VPN集約装置を標的としている
- 企業内サーバーの28.0%で、公開から5年以上経過した未適用の脆弱性が少なくとも1件稼働している
- 2025/2026年における最新のLog4j Javaパッケージダウンロードの34.0%が、依然として脆弱なLog4Shell (CVE-2021-44228) ビルドを取得している
- Microsoft WindowsおよびGoogle Chromiumにおける高深刻度セキュリティ脆弱性の70.0%はメモリ安全性バグである
- 企業全体で緊急の帯域外パッチ適用サイクルを実施するには、直接的な運用人件費として平均$48,500のコストがかかる
1. 年間開示件数: 年間31,800件以上のCVEと48.5%のHigh/Critical深刻度
自動ファジングとバグバウンティプログラムの普及により、公式な脆弱性カタログ登録は指数関数的に加速しています。NIST NVDは年間31,800件以上の新しいCVEを記録しています。
深刻度の分布: CVEの48.5%がHighまたはCritical深刻度 (NIST/MITRE) であり、累計カタログ数は275,000件を超えています。
| 指標 | 値 | 出典 |
|---|---|---|
| NIST National Vulnerability Database (NVD) に毎年公開される共通脆弱性識別子 (CVE) の総数 | 2025/2026年に31,800件以上の新規CVE脆弱性が登録 (1日平均87件の新規CVE) | NIST National Vulnerability Database (NVD) / MITRE |
| HighまたはCritical深刻度 (CVSSスコア7.0〜10.0) に分類された公開CVE脆弱性の割合 | 公開された全CVEの48.5%がHighまたはCritical深刻度と評価 | NIST NVD Severity Analytics / First.org CVSS |
| 1999年にMITREがCVEシステムを確立して以来公開された累計CVE脆弱性総数 | 現在までに累計275,000件以上のCVE脆弱性がカタログ化 | MITRE CVE Program Official Statistics |
バグバウンティプログラムと倫理的ハッキングの開示に関する詳細は、当社の バグバウンティ統計 をご覧ください。出典: NIST National Vulnerability Database。
2. 実環境での悪用: CISA KEV登録は4.2%・14分での悪用スキャン
理論上の脆弱性の大部分は兵器化されることはありませんが、重要なペリメータの脆弱性は開示後数分以内に自動悪用の標的となります。実環境で悪用されるCVEはわずか4.2%です。
スキャン速度: ボットネットは14分以内に新規CVEのスキャンを開始し (Palo Alto)、侵害の86.0%は既存パッチのある既知のN-day欠陥を悪用しています (Mandiant)。
| 指標 | 値 | 出典 |
|---|---|---|
| CISA Known Exploited Vulnerabilities (KEV) カタログ: 脅威アクターによって実環境で実際に武器化されたことが確認された公開CVEの割合 | 公開された全CVEの4.2%が実環境で積極的に悪用されていることが確認 | CISA KEV Catalog Telemetry / Qualys |
| CVE公開から実環境での悪用までの速度: CVEの一般公開から攻撃者の自動スキャンキャンペーン開始までの時間 | 脅威アクターが新規公開CVEの自動スキャンを開始するまでの平均時間は14分 | Palo Alto Networks Unit 42 Threat Report |
| Zero-Day vs N-Day悪用: 既存のパッチが存在する既知のN-day脆弱性を悪用した企業ネットワーク侵害の割合 (zero-dayとの比較) | 脆弱性に起因する侵害の86.0%が利用可能なパッチのある既知のN-day欠陥を悪用 | Mandiant M-Trends / Verizon DBIR |
データ侵害の攻撃ベクトルと初期アクセスに関する詳細は、当社の データ侵害統計 をご覧ください。出典: CISA Known Exploited Vulnerabilities。
3. 修復指標とEPSS: パッチトリアージ工数の-82%削減と58日のMTTR
CVSS基本スコアのみに頼るとパッチ適用疲れが生じますが、予測確率スコアリングを活用することでアクティブな脅威への修復に集中できます。EPSSはパッチ適用工数を-82.0%削減します。
修復の遅延: 企業がCriticalパッチを展開するまで平均58.0日かかり (Qualys)、ペリメータVPNとブラウザがCritical欠陥の42.0%を占めています。
| 指標 | 値 | 出典 |
|---|---|---|
| EPSS (Exploit Prediction Scoring System) の効率性: 単純なCVSSスコアに対する実環境での悪用予測におけるEPSS確率スコアの有効性 | 単純なCVSSの代わりにEPSS + CISA KEVを使用することで、不要なパッチ優先順位付け作業を82.0%削減 | FIRST.org EPSS Data / Cyentia Institute |
| Critical CVEの平均修復時間 (MTTR): 企業のIT部門がCritical深刻度CVEにパッチを適用するのに要する日数 | 企業組織がCritical CVEにパッチを適用するまでの平均時間は58.0日 | Qualys TruRisk Threat Research / Ponemon |
| 最も脆弱なソフトウェアカテゴリ: Critical CVEの開示数が最も多いソフトウェア領域 (Webブラウザ、OSカーネル、エッジVPN) | Critical CVEの42.0%がWebブラウザおよびペリメータネットワーク機器/ファイアウォールを標的 | VulnCheck State of Exploitation / NIST |
SIEMおよびSOC運用の脆弱性管理に関する詳細は、当社の SIEM・SOC統計 をご覧ください。出典: FIRST.org EPSS Data。
4. レガシーの残存とメモリ安全性: 28%が5年以上前のCVE・70%がメモリバグ
管理されていないレガシーサーバーや組み込み機器では、過去のエクスプロイトに対して恒久的に脆弱なまま放置されたコードベースが稼働していることがよくあります。サーバーの28.0%で5年以上前のCVEが稼働しています。
メモリバグ: Windows/Chromiumの脆弱性の70.0%がメモリ安全性欠陥であり (Microsoft/Google)、Log4jダウンロードの34.0%が依然としてLog4Shellに対して脆弱です (Sonatype)。
| 指標 | 値 | 出典 |
|---|---|---|
| レガシー脆弱性の残存性: 5年以上前に公開された未適用のCVEを現在も実行している企業システム (Log4j、EternalBlueなど) | 企業内サーバーの28.0%が5年以上前の未パッチCVEを少なくとも1件実行 | Tenable State of Vulnerability Management |
| Log4j (Log4Shell / CVE-2021-44228) の残存性: 脆弱なLog4jライブラリバージョンを現在もダウンロード・実行している企業アプリケーション | 2025/2026年のLog4jパッケージダウンロードの34.0%が依然として脆弱なLog4Shellバージョン | Sonatype Central Repository Telemetry |
| メモリ安全性のCVE: C/C++コードにおけるメモリ管理バグ (バッファオーバーフロー、use-after-free) に起因する高深刻度脆弱性の割合 | MicrosoftおよびGoogle ChromiumのセキュリティCVE全体の70.0%がメモリ安全性脆弱性 | Microsoft Security Response Center (MSRC) / Google Chromium |
ソフトウェアサプライチェーンの脆弱性と依存関係に関する詳細は、当社の サプライチェーン攻撃統計 をご覧ください。出典: Microsoft Security Response Center。
5. パッチ運用の経済性とゼロデイ遅延: パッチ費用$48,500とベンダー遅延52日
分散したグローバル本番クラスタ全体に緊急の帯域外アップデートを展開するには、広範な互換性テストが必要です。緊急パッチ適用は1サイクルあたり$48,500のコストがかかります。
ベンダーの対応力: ベンダーが報告されたゼロデイにパッチを適用するまでに平均52.0日を要し (Google Project Zero)、開示情報の32.0%がCVSS v4.0を採用しています。
| 指標 | 値 | 出典 |
|---|---|---|
| 緊急帯域外セキュリティパッチ適用のコスト: 企業での単一の緊急パッチ展開あたりのIT運用人件費 | 企業全体での緊急パッチ適用サイクル1回の実行にかかる平均運用人件費は$48,500 | Ponemon Institute Vulnerability Management Study |
| ベンダーのパッチリリース遅延: 最初の非公開ゼロデイ脆弱性報告からベンダーの公式パッチ公開までの平均時間 (日数) | セキュリティパッチの開発およびリリースにかかるベンダーの平均対応時間は52.0日 | Google Project Zero Annual Review |
| CVSS v4.0の採用率: 脅威指標と攻撃の容易性を組み込んだ強化されたCVSS 4.0標準を採用している脆弱性開示の割合 | 新規公開された脆弱性アドバイザリの32.0%がCVSS v4.0評価を提供 | FIRST.org Common Vulnerability Scoring System |
エンドポイントセキュリティの検知と振る舞いパッチ適用に関する詳細は、当社の エンドポイントセキュリティ統計 をご覧ください。出典: Google Project Zero。
6. スキャンガバナンスとバックログ: バックログ+24%増加とCISA準拠率88%
継続的な自動脆弱性評価ツールは、開発チームが修正できる数よりも多くの脆弱性を毎月検出しています。未適用のバックログは+24.0%増加しました。
米連邦機関での実施状況: 連邦文民機関の88.0%が、定められた14日間の期限内にCISA KEVの欠陥にパッチを適用しており (CISA BOD 22-01)、64.0%の日次スキャン導入率に支えられています。
| 指標 | 値 | 出典 |
|---|---|---|
| 自動脆弱性スキャンの頻度: 継続的な日次または週次の自動資産脆弱性スキャンを実施している企業 | 企業IT環境の64.0%が継続的な自動脆弱性スキャンを実施 | Gartner Market Guide for Vulnerability Assessment |
| 脆弱性バックログの増加: 企業のチケット管理システム (Jira、ServiceNow) で追跡されている未解決・未パッチCVEの総バックログの年間増加率 | 企業の未パッチ脆弱性バックログが年間+24.0%増加 | Brinqa State of Cyber Risk Operations |
| CISA拘束力のある運用指令 (BOD 22-01): 義務付けられた14日間の期限内にCISA KEV脆弱性にパッチを適用した連邦機関の準拠率 | 連邦文民機関の88.0%が14日間の義務期限内にCISA KEV脆弱性にパッチを適用 | CISA BOD 22-01 Federal Compliance Digest |
まとめ: 数字で見るCVE脆弱性
| 指標 | 値 | 主な出典 |
|---|---|---|
| 年間新規カタログ登録CVE脆弱性数 | 31,800+ 件の新規CVE / 年 | NIST NVD / MITRE |
| HighまたはCritical深刻度と評価された公開CVE | 48.5% がHighまたはCritical | NIST NVD Analytics |
| 1999年以降の累計CVE総数 | 275,000+ 件の累計CVE | MITRE CVE Program |
| 実環境で活発に悪用されている公開CVE | 4.2% が実際に悪用 | CISA KEV Catalog / Qualys |
| CVE公開から自動ボットスキャンまでの時間 | 14 分でスキャン開始 | Palo Alto Unit 42 Report |
| パッチが存在する既知のN-day欠陥を悪用した侵害 | 86.0% がN-day悪用 | Mandiant / Verizon DBIR |
| EPSSモデルによるパッチトリアージ工数の削減 | -82.0% のトリアージ工数削減 | FIRST.org / Cyentia |
| Critical CVEの平均パッチ適用時間 (MTTR) | 58.0 日でパッチ適用 | Qualys TruRisk Research |
| ブラウザおよびペリメータVPNを標的とするCritical CVE | 42.0% がブラウザ/ファイアウォール | VulnCheck / NIST |
| 5年以上前の未パッチCVEを実行している企業サーバー | 28.0% がレガシーCVE | Tenable Vulnerability Study |
| 脆弱なLog4ShellのままであるLog4jダウンロード | 34.0% が脆弱なLog4j | Sonatype Central Telemetry |
| メモリ安全性に起因するChromiumおよびWindowsのCVE | 70.0% がメモリ安全性バグ | Microsoft MSRC / Google |
| 企業規模の緊急パッチ適用サイクルのコスト | $48,500 / パッチサイクル | Ponemon Institute Study |
| ゼロデイに対するベンダーの平均パッチリリース時間 | 52.0 日のベンダー遅延 | Google Project Zero |
| 14日間のKEV義務に対する連邦機関の準拠率 | 88.0% の連邦準拠率 | CISA BOD 22-01 Report |
方法論と出典
本レポートの統計情報は、NIST National Vulnerability Database (NVD) およびMITRE CVE Programの公式脆弱性データベース記録、CISA Known Exploited Vulnerabilities (KEV) カタログのエクスプロイト追跡テレメトリ、FIRST.org (EPSSおよびCVSS v4.0) の予測モデリングデータ、Qualys、Tenable、Sonatypeの企業脆弱性ベンチマーク、ならびにGoogle Project ZeroおよびMicrosoft Security Response Centerのゼロデイ研究からまとめられました。
-
NIST National Vulnerability Database (NVD) & MITRE: CVE Program Statistics, CVSS Score Distributions, and NVD Metrics (年間31,800件以上のCVE、48.5%がHigh/Critical、累計275,000件)。
-
Cybersecurity and Infrastructure Security Agency (CISA): Known Exploited Vulnerabilities (KEV) Catalog and BOD 22-01 Compliance (実環境での悪用4.2%、連邦準拠率88%)。
-
FIRST.org & Cyentia Institute: Exploit Prediction Scoring System (EPSS) Research and CVSS v4.0 Specifications (EPSSによるパッチ作業-82%削減、CVSS 4.0採用32%)。
-
Qualys & Tenable: TruRisk Vulnerability Management Report: MTTR Benchmarks and Legacy CVE Persistence (MTTR 58.0日、5年以上のレガシーCVE 28%)。
-
Google Project Zero & Microsoft Security (MSRC): Year in Review: Zero-Day Exploitation and 70% Memory Safety Vulnerabilities (パッチ遅延52日、メモリバグ70%)。
-
Data watch: CVEの統計は、企業のソフトウェア、オペレーティングシステム、ファームウェア全体にわたってNIST NVDおよびMITRE辞書にカタログ化された標準化された脆弱性開示を反映しています。未開示の非公開独自脆弱性は別途分類されます。
-
最終更新日: 2026年8月。このまとめは、NIST NVDの四半期ごとの集計、CISA KEVカタログの拡張、およびEPSS予測モデルの更新に合わせて四半期ごとに更新されます。