露出を放置できる時間は、もうゼロになった：「見つけて、速く直す」が前提になった2026年の守り方
目次
「脆弱性が公開されてから、対策する時間はどれくらいあるか」。この問いへの答えが、ここ数年で大きく変わりました。かつては数週間で、そのあと数日になりました。
外部に公開された機器については、その差がほぼ消えた例まで確認されています。公開データで、何が要求されているのかを順に見ていきましょう。
外に面した機器では、公開と悪用の時間差がほぼ消えた
Verizon の2025年 Data Breach Investigations Report は、VPN やファイアウォールなどインターネットに面した機器の脆弱性17件について、CVE として公開されてから悪用が確認された脆弱性の一覧（CISA KEV）に載るまでの日数の中央値が0日だったと報告しています。
図1：公開と、悪用が確認されるまでの日数（Verizon DBIR 2025）
深掘り：この数字が指している範囲
17件のうち9件は、CVE 公開の当日か、それ以前にすでに一覧へ載っていました。公開とほぼ同時に悪用が問題になっていたことになります。対象がインターネットに面した機器に限られている点は押さえておく必要があり、社内向けのソフトウェア全般に同じ日数が当てはまるわけではありません。
侵入の入口は、外から見えている機器に集中している
警察庁の2025年上半期の統計では、感染経路が特定されたランサムウェア被害の84%が、VPN 機器やリモートデスクトップなど外部に公開された機器を入口としていました。
図2：感染経路が特定された事案の内訳（警察庁 2025年上半期）
深掘り：狙われるのは未修正の脆弱性だけではない
漏れた認証情報や、設定の不備も同じ入口から使われます。派手なゼロデイより先に、インターネットから見えている口が突かれるという構図です。攻撃者が見ているのは自社の資産台帳ではなく、実際に外から見えているもののほうになります。
「知らなかった資産」が入口になるのは、例外ではない
トレンドマイクロと CSO Online の調査では、セキュリティ責任者の73%が、把握できていなかった資産や管理外の資産に起因するインシデントを経験したと答えています。
図3：管理外の資産に起因するインシデントの経験率（Trend Micro / CSO Online 2025）
深掘り：どこから増えるのか
クラウドへの移行、部門ごとに立てたサブドメイン、検証用に少しだけ公開したサーバー。増え方はシャドーIT の解説に、外から数え上げる方法はASM の解説で扱いました。
3 つが同時に成り立つと、年に一度の診断では構造的に追いつかない
入口は外から見えている資産で、そこには把握していないものが混ざり、弱点は公開とほぼ同時に狙われる状況です。診断と診断のあいだに、資産が増え、脆弱性が公開され、悪用が始まりえます。
図4：追いつかないのは能力ではなく、間隔のほう
深掘り：だから輪にする
外部の資産を継続的に見つけ、危険な順に並べ、本当に悪用できるかを確かめ、直しきる。この輪を回し続けて攻撃面を縮める考え方がCTEMです。一度の点検で終わらせず、間隔そのものを潰します。
並べ方は「深刻さ」ではなく「悪用できるか」で決める
見つかる脆弱性は毎週数百件になりえて、全部には手が回りません。深刻度が高くても狙われないものがあり、中くらいでも悪用が確認されているものがあります。
図5：深刻さだけの並べ方と、悪用のしやすさを入れた並べ方
深掘り：並べた先に、確かめる工程がある
スキャナが出した候補のうち、実際に悪用できるものだけへ絞る工程を置きます。スコアの読み分けはCVSS・EPSS・KEVに、確かめる工程はAIで脆弱性を検証するで扱いました。
上げるべきは、早く気づく力と、早く直す力の両方
時間差が消えた以上、片方だけでは間に合いません。PentaTrail は毎日スキャンし、悪用のしやすさで順番を付け、直し方を具体的なタスクにするところまでを回します。
図6：気づく側と直す側の、両方を上げる
- CTEMとは：従来の脆弱性管理との違いと使い分け
- アタックサーフェスマネジメント（ASM）とは
- CVSS・EPSS・KEV：脆弱性スコアの読み方と使い分け
- CTEMデータをMCPでAIエージェントに繋ぐ
自社の攻撃面がいま外からどう見えているかは、14日間無料で確かめられます。
付録：引用した公開データと、PentaTrail の受け持ち
表1：本文で引用した数字と出所
| 数字 | 何を測ったもの | 出所 |
|---|---|---|
| 中央値 0 日 | 外に面した機器の脆弱性17件で、CVE 公開から KEV 掲載までの日数 | Verizon DBIR 2025 |
| 9 / 17 件 | 公開当日か、それ以前にすでに KEV へ載っていた件数 | 同上 |
| 84% | 感染経路が特定されたランサムウェア被害のうち、外部公開機器が入口だった割合 | 警察庁 2025年上半期 |
| 73% | 把握できていなかった資産に起因するインシデントを経験した責任者の割合 | Trend Micro / CSO Online 2025 |
表2：PentaTrail での受け持ち
| 受け持ち | 中身 |
|---|---|
| 毎日のスキャン | 新しく増えた資産や開いたポートを、翌日には検知する |
| 悪用のしやすさでの順番付け | CVSS だけで並べず、KEV・EPSS・資産の業務影響を組み合わせる |
| AI 対処ガイダンス | 多数の脆弱性を対処方針でまとめ、何をどう直すかをタスクにする |
| AI エージェントからの参照 | 自社の攻撃面のデータを直接たずねられる |
攻撃側が自動化で速度を上げているなら、守る側も判断と実行の速度で応えるほかありません。放置できる時間が消えたいまの答えは、たまに点検することではなく、継続して見て速く直すことです。
スキャンの間隔は、2026年8月17日に PentaTrail の定期実行の設定を参照して確認したものです。
