基礎解説第10回 AIGIS Cyber Lab

脆弱性が見つかったら、全部すぐ直す？｜対応の優先順位を決める基本

2026年10月1日監修・作成：AIGIS編集部難度：入門

ソフトウェアやネットワーク機器を使っていると、
「この製品に脆弱性が見つかりました」
という情報が公開されることがあります。

脆弱性とは、攻撃に利用される可能性のあるソフトウェアや設定上の弱点です。

しかし、脆弱性が一つ見つかったからといって、
「すべてのシステムを今すぐ止めて更新する」
という対応がいつも正しいわけではありません。

逆に、
「今まで問題なく動いているから、そのままでいい」
という判断も危険です。

大切なのは、自分たちに影響する脆弱性なのかを確認し、対応の優先順位を決めることです。

まず「自分たちが使っているか」を確認する

例えば、
「○○製品のバージョン5.2以前に脆弱性があります」
という情報が出たとします。

最初に確認するのは、

その製品を使っているか
どこで使っているか
対象となるバージョンか
何の業務に使っているか

です。

そもそも対象製品を使っていなければ、その脆弱性への対応は必要ありません。

一方、
「使っているかどうか分からない」
という状態では、判断すること自体ができません。

脆弱性対応の出発点は、特別なセキュリティーツールではなく、自分たちが何を使っているかを把握することです。

医療機器メーカーであれば、製品に含まれるソフトウェアやライブラリを把握するSBOMも、この確認に役立ちます。

CVEは「脆弱性の名前」

脆弱性情報を見ると、CVE-2026-xxxxxのような番号が付いていることがあります。

CVEは、公開された脆弱性を共通の識別番号で扱うための仕組みです。

同じ脆弱性について、メーカー、利用者、セキュリティー機関が同じ番号を使って話せるようにするものです。

CVE番号そのものが、
「どのくらい危険か」
を表しているわけではありません。

CVSSの数字だけで決めない

脆弱性情報には、CVSSという0から10までの数値が付いていることがあります。

これは脆弱性の技術的な深刻度を表すための指標です。

例えば、
「CVSS 9.8だから必ず最優先」
とは限りません。

逆に、
「7.0だから急がなくてもよい」
とも限りません。

実際の優先順位を考えるときには、数字と一緒に、

インターネットからアクセスできるか
攻撃に実際に使われているか
自社でその機能を使っているか
侵害された場合にどの業務が止まるか
医療機器や患者安全への影響があり得るか
一時的な回避策があるか

を確認します。

「実際に悪用されているか」も見る

脆弱性の中には、すでに実際の攻撃で利用されていることが確認されているものがあります。

CISAは、実際に悪用されていることが確認された脆弱性をKnown Exploited Vulnerabilities、KEVとして公開しています。

つまり、
CVSSは「技術的にどの程度深刻か」
KEVは「すでに現実の攻撃で使われているか」
を見るための材料です。

自社や自院が使っている製品に、KEV掲載の脆弱性が含まれている場合は、優先して確認する必要があります。

医療では「すぐ更新」が難しいこともある

一般的なPCであれば、メーカーから更新プログラムが公開されたら適用する、という対応が比較的取りやすい場合があります。

医療機器や医療情報システムでは、更新方法がメーカーや保守事業者から指定されていたり、他システムとの接続確認が必要だったりすることがあります。

そのため、
「脆弱性があるから自分でとりあえず更新する」
のではなく、

メーカーやベンダーの案内を確認する
更新可能な時期を確認する
更新できない間の回避策を確認する
対応後に正常に動作することを確認する

という流れが重要です。

「直した」で終わらせない

脆弱性への対応は、
見つける
↓
影響を確認する
↓
優先順位を決める
↓
対応する
↓
本当に対応できたか確認する
という流れで考えます。

例えば、
「パッチを配布しました」
だけでは対応完了とは限りません。

対象機器に実際に適用されたか、正常に動作しているか、未対応の機器が残っていないかまで確認します。

第9回の「外から入る入口」とつなげて考える

第9回では、リモート保守など外部から接続できる入口を把握することを扱いました。

同じ脆弱性でも、
社内だけで利用しているシステムと、
インターネットや保守回線から到達できるシステムでは、
攻撃される可能性や優先順位が変わることがあります。

脆弱性情報を単独で見るのではなく、
「その機器はどこにあり、誰から到達できるか」
まで一緒に確認することが大切です。

5分で確認してみましょう

自社や自院について、次の質問に答えられるでしょうか。

使用している主要なシステム・機器・ソフトウェアを把握している
製品名だけでなくバージョンも確認できる
メーカーやベンダーから脆弱性情報を受け取れる
脆弱性が自社に影響するか判断する担当者が決まっている
CVSSの数字だけで優先順位を決めていない
実際の悪用状況や外部からの到達可能性も確認している
更新できない場合の回避策を確認している
対応後に、本当に更新されたかを確認している

一つでも「分からない」があれば、まずそこを確認するところから始めます。

AIGISでは「脆弱性があるか」だけで終わりません

脆弱性スキャンをすると、多くの指摘が出ることがあります。

しかし、一覧を作ることが目的ではありません。

AIGISでは、
「その脆弱性が本当に対象製品へ影響するか」
「実際に悪用されているか」
「外部から到達できるか」
「製品・業務・患者安全への影響は何か」
「いつ、どの方法で対応するか」
まで整理します。

重要なのは、脆弱性をゼロにすることではなく、重要なものを見落とさず、判断して対応できる状態を作ることです。

参考資料

情報確認日：2026年10月1日