露出を放置できる時間は、もうゼロになった：「見つけて、速く直す」が前提になった2026年の守り方

「脆弱性が公開されてから、対策する時間はどれくらいあるか」。この問いへの答えが、ここ数年で大きく変わりました。かつては数週間、そして数日でした。いまは、外部に公開された機器の脆弱性については、その差が ほぼ消えた例 も確認されています。

Verizon の 2025 年 Data Breach Investigations Report は、分析対象とした 17 件のエッジ機器（VPN やファイアウォールなどインターネットに面した機器）の脆弱性について、CVE として公開されてから「悪用が確認された脆弱性リスト（CISA KEV）」に載るまでの日数の中央値が「0 日」 だったと報告しています（Verizon DBIR 2025）。17 件のうち 9 件が、CVE 公開の当日か、それ以前にすでにこのリストに載っていました。公開とほぼ同時に、悪用が問題になっていたということです。

本記事では、この「時間差の消失」が守り方に何を要求しているのかを、公開データで整理します。

攻撃の入口は、外に公開された資産

まず、どこから攻撃が入ってくるのか。警察庁の 2025 年上半期の統計では、ランサムウェア被害のうち、感染経路が特定された事案の 8 割超（84%）が、VPN 機器やリモートデスクトップなど外部に公開された機器を侵入経路 としていました（警察庁, 2025年上半期）。

派手なゼロデイや高度な標的型よりも先に、インターネットから見えている入口 が突かれています。狙われるのは未修正の脆弱性だけでなく、漏れた認証情報や設定の不備なども含まれます。攻撃者は、自社の資産台帳ではなく、実際に外から見えているものを見ています。

問題は「知らなかった」ではなく「放置していた」

厄介なのは、未把握・管理外の資産に足をすくわれるのが、例外的な話ではないことです。トレンドマイクロ／CSO Online の調査では、セキュリティ責任者の 7 割超（73%）が、把握できていなかった・管理外だった資産に起因するインシデントを経験 したと答えています（Trend Micro / CSO Online, 2025）。

クラウド移行、部門ごとに立てたサブドメイン、検証用にちょっと公開したサーバー。こうした「気づいていない資産」が外部に公開されていれば、そのまま入口になりえます。攻撃面（アタックサーフェス）の考え方については アタックサーフェスマネジメント（ASM）とは でも触れています。

一度きりの診断では、間に合わない

ここまでを合わせると、守り方への要求が見えてきます。

• 攻撃の入口は「外から見えている資産」
• 未把握・管理外の資産が、被害の入口になりうる
• 見つかった弱点は、公開とほぼ同時に悪用が問題になりうる

この 3 つが同時に成り立つ世界では、「年に一度、まとめて診断する」やり方は構造的に追いつきません。 診断と診断のあいだに新しい資産が増え、新しい脆弱性が公開され、悪用が始まりえます。

だから、発見と対処を 繰り返し続ける 前提に切り替える必要があります。これが Gartner の提唱する CTEM（継続的脅威エクスポージャー管理） の考え方です。外部資産を継続的に発見し、危険な順に並べ、本当に悪用できるかを確かめ、直しきる。この輪を回し続けることで、攻撃面を縮小していきます。

優先順位は「深刻さ」ではなく「悪用できるか」で

回し続けるといっても、見つかる脆弱性は毎週数百件になりえます。全部には手が回りません。だから 並べ方 が要になります。

ここで、CVSS のスコアだけで並べるのは危険です。深刻度が高くても実際には悪用されていない脆弱性もあれば、スコアは中くらいでも悪用が確認されている脆弱性もあります。有効なのは、CVSS に加えて KEV（悪用が確認された脆弱性）・EPSS（悪用される確率の予測）・その資産の業務影響 を組み合わせて優先順位を決めることです（CVSS 偏重の限界については NVD のスコアリング変更と CTEM でも取り上げました）。

さらに、優先順位づけの一歩先には 「本当に攻撃できるのか」を確かめる検証 があります。スキャナーが吐いた候補のうち、実際に悪用可能なものだけに絞る。この工程については AIで脆弱性を検証する で詳しく書いています。

PentaTrail の答え：見て、絞って、速く直す

時間差が消えた以上、守りに必要なのは 「早く気づく力」と「早く直す力」 です。この 2 つを、人手を増やさずに回せるようにするのが PentaTrail の設計思想です。

• 日次スキャン：従来型の定期診断が月次・週次で回るのに対し、PentaTrail は毎日スキャンします。新しく増えた資産や開いたポートを、翌日には検知します。
• 悪用可能性での優先順位づけ：CVSS だけで並べず、KEV・EPSS・業務影響を組み合わせて「まず直すべき順」を出します。
• AI 対処ガイダンス：数多い脆弱性を対処方針でまとめ、何を・どう直すかを具体的なタスクにします。自社の攻撃面データは AI エージェントから直接たずねる こともできます。

大事なのは、これが 「見つけて終わり」ではない ということです。見つけて、悪用可能性で絞って、直しきるところまでを、露出を減らすという成果に向けて回し続けます。速く直すために、判断と優先順位づけを AI が支える。人を置き換えるのではなく、少人数でも継続的な管理を回せるようにする。それが狙いです。

速度には、速度で応える

「公開とほぼ同時に狙われる」世界で、守り側だけが年 1 回のペースにとどまることはできません。攻撃側が自動化と AI で速度を上げているなら、防御側は 「何を優先するか」の判断と「どれだけ早く直すか」の実行 を、同じだけ上げる必要があります。

放置できる時間が消えたいま、答えは「たまに点検する」ではなく「継続的に見て、速く直す」です。それを、専任チームを持てない組織でも回せるようにする。それが、PentaTrail が CTEM に取り組む理由です。

まずは、自社の攻撃面が、いま外からどう見えているか。それを 14日間無料で確かめられます。CTEM の全体像は CTEM とは にまとめています。