PHPやJavaのような個別の話の前に、「いま世の中でどんな脅威が重くみられているのか」を知っておくと、対策の優先順位をつけやすくなります。この記事では、IPA(情報処理推進機構)の「情報セキュリティ10大脅威 2026」と、Webアプリの定番の指標「OWASP Top 10:2025」を、公式の一覧で確認して整理します(2026年10月26日時点)。
・2026年の組織向けの1位は「ランサム攻撃による被害」。「AIの利用をめぐるサイバーリスク」が3位に初めて入った。
・「サプライチェーン」は、IPAでは2位、OWASPでは A03 に入っていて、どちらも重視されている。
・脆弱性の情報は、CVE → CVSS → KEV の順に見ると、優先順位をつけやすい。
1. IPA「情報セキュリティ10大脅威 2026」
IPAは、前年に社会的な影響が大きかった情報セキュリティの事故や攻撃をもとに、脅威の候補を選びます。約250名の専門家などで構成する「10大脅威選考会」が審議と投票を行い、決定します。2026年版は、2026年1月29日に公表されました。組織向けの順位は、次のとおりです。
IPAによると、順位は危険度の高さそのものではなく、選考会のメンバーが、社会的な影響が大きいと判断した順番です。3位の「AIの利用をめぐるサイバーリスク」は、報道では、組織向けの10大脅威に初めて入ったと伝えられています。
個人向けは、順位がなく、五十音順に10件が並んでいます。「フィッシングによる個人情報等の詐取」「インターネット上のサービスへの不正ログイン」「サポート詐欺(偽警告)による金銭被害」などです。
2. OWASP Top 10:2025
OWASPは、Webアプリケーションのセキュリティを高めるための非営利団体です。その「Top 10」は、Webアプリで特に重大なリスクを、10の分類にまとめたものです。2025年版の分類は、次のとおりです。
| 番号 | 分類(英語) | どんな問題か(かんたんに) |
|---|---|---|
| A01 | Broken Access Control | 見てはいけない人が見られる、できないはずの操作ができる |
| A02 | Security Misconfiguration | 設定の不備(初期設定のまま、不要な機能が有効など) |
| A03 | Software Supply Chain Failures | 使っている部品・配布の経路が攻撃される |
| A04 | Cryptographic Failures | 暗号化の不足や誤り |
| A05 | Injection | 入力が命令として実行される(SQLインジェクションなど) |
| A06 | Insecure Design | そもそもの設計に弱点がある |
| A07 | Authentication Failures | ログインやセッションの管理の不備 |
| A08 | Software or Data Integrity Failures | ソフトウェアやデータが改ざんされても気づけない |
| A09 | Security Logging and Alerting Failures | 記録や通知が足りず、攻撃に気づけない |
| A10 | Mishandling of Exceptional Conditions | 想定外の状態(エラーなど)の扱いの不備 |
右側の説明は、各分類の名前をもとにした、筆者の要約です。正式な定義は、OWASPのページで確認してください。IPAの2位の「サプライチェーンや委託先を狙った攻撃」と、OWASPのA03「Software Supply Chain Failures」は、同じ方向の問題を指しています。
3. 実例:サプライチェーン攻撃 XZ Utils(CVE-2024-3094)
サプライチェーン攻撃は、「自分が使っている部品の側が攻撃される」タイプです。その代表例が、2024年のXZ Utilsの事件です。NVDには、「xz のアップストリームの配布物(tarball)に、バージョン5.6.0以降、悪意のあるコードが見つかった」と記載されています。公開日は2024年3月29日、深刻度は CVSS v3.1 で 10.0(Critical)です。
この事例が示すのは、自分のコードや設定に問題がなくても、使っている部品が汚染されると被害を受ける、ということです。だから、「何を使っているか」を一覧で把握しておくことが大切になります。
4. 脆弱性情報の見方
脆弱性の情報は、毎日、大量に出ます。すべてを読むのは無理なので、次の順に見ると、優先度が決めやすくなります。
- CVE番号:世界共通の、脆弱性の識別番号です。
- CVSS:深刻度を0〜10の点数で表します。9.0以上が「緊急(Critical)」です。
- KEV:米国のCISAが公開する、「実際に悪用が確認された脆弱性」の一覧です。ここに載っているものは、優先して対応します。
- 自分の環境に該当するか:バージョンや構成が、対象の条件に当てはまるかを確認します。点数が高くても、条件に当てはまらなければ、緊急度は下がります。
日本語の情報源としては、JPCERT/CCとIPAが運営する「JVN」(Japan Vulnerability Notes)などがあります。
5. 自分でできる対策
個人
- パスワードを使い回さず、可能な所では二段階認証を使う。
- メールやSMSのリンクから、ログインしない。公式のアプリやブックマークから開く。
- OS・ブラウザ・アプリを、最新の状態にする。
サイトやアプリを運営している人
- 使っているソフトのバージョンと終了日を、一覧にする(PHP、Javaなど)。
- 依存ライブラリの検査を、自動化する。
- バックアップを、元のサーバーとは別の場所にも取る。
- ログを残し、異常に気づける仕組みを作る。
あわせて読みたい
出典と確認について
2026年10月26日時点で、以下の一次情報(公式の一覧・公的機関・脆弱性データベース)を直接確認して書いています。10大脅威の順位とその名称は、IPAの公式ページの表記のままです。「初ランクイン」は、報道(Impress などの解説記事)による記載です。
コメント