セキュリティ 2026.10.18 読了 4 分

脆弱性の発見が2.4倍になった。数えてみたら2.28倍だった

会話型AIの普及以降、脆弱性の発見が急増していると報じられました。公開データベースで自分で数え直し、増えた意味を考えます。

この記事の結論

会話型AIが広まって以降、ITシステムの脆弱性の発見が急増している、と報じられた。元になっているのは米国の非営利団体MITREが管理している番号の集計になる。

数字が独り歩きしやすい話なので、自分で数え直した。

数えた結果

脆弱性にはCVEという識別番号が振られる。公開データベースの検索機能で、公開日の範囲を区切って件数を取った。

報道の「2.4倍」「4万8千件超」とは少しずれるが、ほぼ同じ絵になる。数え方（どの時点の集計か、どのデータベースか）で差が出る程度の違いだ。

2026年も数えてみた。1月から6月までで37,126件。半年でこれなので、報じられている「記録的な速さ」は確かにそのとおりになる。

この手の数字は、どこかの時点のスナップショットであることが多い。後から追加登録されると増える。

確かめてみて分かったのは、多少ずれても結論は変わらないということだった。2.28倍でも2.4倍でも、倍以上に増えたという事実は動かない。

ここを取り違えると、話がおかしくなる。

CVEの件数は見つかって、番号が振られた数だ。存在する弱点の数ではない。

つまり2.28倍になったのは、

のいずれか、あるいは全部になる。ソフトウェアが急に2倍脆くなったわけではない。

ただし「だから安心」とはならない。見つかって公開された瞬間から、その情報は守る側と攻める側の両方に渡るからだ。

そして攻める側のほうが速い。守る側は、自分が使っているものかを調べ、影響を確かめ、適用の計画を立て、止まる時間を調整する。攻める側は、公開された手順を試すだけになる。

さくらインターネットが新規受付を止めた件が、まさにその形だった。被害が出たからではなく、脆弱性が公開された段階で動いている。

報道は「AI普及で」としているが、何がどう効いているのかは分けて考えたい。

要するに見つける側と、報告する側の手間が下がった。直す側の手間は、そこまで下がっていない。

入口が広がって、出口が同じ。だから詰まる。

件数が増えたからといって、全部を追うことはできない。絞る基準を先に決めるしかない。

1番目が抜けていると、残りが全部できない。「うちは関係あるのか」に即答できない状態が、いちばん時間を失う。

評価値の読み方はさくらの記事に書いた。数字そのものより、影響が箱の外に出るかどうかを見ると優先順位がつけやすい。

報道によれば、相次ぐ情報漏えいを受けて、10月9日に企業へ脆弱性対策の強化が要請されたとされている。

この秋の公表は、このサイトでも10日間で何社公表したのか以降ずっと追ってきた。件数の増加と、実際の被害の増加が同じ時期に来ている。

脆弱性の発見が急増しているという報道と「2.4倍」「4万8千件超」という数、10月9日の要請については、共同通信（2026年10月17日配信）による
NVD（米国国立標準技術研究所の脆弱性データベース）（本記事の件数は、同データベースの公開APIで公開日の範囲を区切って集計したもの。2026年10月18日に取得）

本記事の件数は筆者が取得時点で数えたもので、後からの登録により増える可能性がある。報道の数値と差があるのは、集計時点とデータベースの違いによる。本記事は法的な助言ではない。