脆弱性とは?「脆弱」の意味から、バグ・ウイルスとの違いまで

結論: 脆弱性(ぜいじゃくせい)とは、ソフトウェアやシステムにある、セキュリティ上の弱点のことです。弱点を突かれると、情報が盗まれたり、パソコンやサーバーを乗っ取られたりする可能性があります。見つかった脆弱性は、開発元が修正版を出すので、利用者は、更新を適用することで守られます。

脆弱性とは

脆弱性は、英語で「vulnerability(ぶるねらびりてぃ)」といいます。ソフトウェアの作りや、設定の不備によって生まれる、攻撃の入口になりうる弱点です。

家にたとえると、鍵のかけ忘れや、壊れた窓のようなものです。それ自体は、泥棒ではありませんが、そこを使って、泥棒が入れてしまいます。

脆弱性・バグ・ウイルスの違い

似た言葉が、いくつかあります。

つまり、脆弱性(弱点)を、マルウェア(攻撃の道具)が、突くという関係です。マルウェアの種類は、マルウェアとウイルスの違いで解説しています。

どんな脆弱性があるのか

脆弱性には、いろいろな種類があります。

見つかってから、直るまでの流れ

脆弱性は、次のような流れで、扱われます。

1. 発見:開発元・研究者・攻撃者などが見つける
2. 報告:見つけた人が、開発元に伝える
3. 修正版の作成:開発元が、直したものを用意する
4. 公表:修正版とあわせて、情報が公表される
5. 適用:利用者が、更新を入れる

利用者が危険にさらされるのは、修正版が出ていないときと、修正版が出たのに、入れていないときです。後者の場合は、更新するだけで防げます。

修正版が出る前に、すでに悪用されるものは、ゼロデイ脆弱性とは?で解説しています。

ニュースの読み方:CVEとCVSS

脆弱性のニュースには、次の用語が出てきます。

点数の読み方は、CVSSとは?で解説しています。**点数が高いかより、「悪用が確認されているか」**のほうが、行動を決める上では、重要な場合があります。

件数の多さに、驚かない

たとえば、2026年10月のWindows Updateでは、マイクロソフト製品の脆弱性が、1,413件と、過去最多になったと報じられました。件数だけを見ると不安になりますが、更新を適用すれば、まとめて修正されます。注目したいのは、「悪用が確認されている」ものが、何件あるかです(この月は、1件と報じられました)。

最近の事例

当サイトで取り上げた、脆弱性のニュースです。

• PHPの重大な脆弱性とは?
• Google Chromeに「重大」な脆弱性
• 7-Zipがv26.05に更新
• eMudhra証明書の侵害とは?

個人ができる備え

1. 自動更新を、オンにする:OS(Windows・iPhone・Mac・Android)とブラウザ
2. 再起動する:更新は、再起動して初めて完了するものがあります
3. ニュースで「悪用が確認されている」と見たら、優先して更新する
4. 自動更新されないソフトも、確認する:圧縮ソフトなど、自分で更新が必要なものがあります
5. 使わないソフトを、削除する:弱点の入口を、減らします
6. サポートが終わったOS・ソフトを、使い続けない
7. バックアップを取っておく:万一の被害から、戻せるようにします(3-2-1バックアップとは)

更新を、後回しにしにくい理由は、Windowsアップデートが「3日以内」の時代に?でも整理しています。

組織・開発者の場合

組織や、システムを作る側では、次の備えが大切です。

• 使っているソフトと、そのバージョンを、一覧にする
• 更新の優先順位を、決めておく(悪用の確認・外部への公開・重要度)
• 作る側は、入力のチェックや、最新のライブラリの利用など、基本を守る
• ソフトの部品を、把握する(SBOMとは?)

まとめ

• 脆弱性は、ソフトやシステムの、セキュリティ上の弱点
• バグの一種で、ウイルス(攻撃の道具)が突く入口になる
• 見つかると、修正版が出る。更新を適用して、初めて守られる
• ニュースでは、**CVE(番号)・CVSS(深刻度)・「悪用が確認」**に注目
• 個人の備えは、自動更新・再起動・使わないソフトを減らす・バックアップ

参考にした情報源

• 10月の「Windows Update」は初の脆弱性4桁で過去最多を更新(窓の杜)

※ 件数や状況は、各社の発表で変わる場合があります。最新の情報は、各社の公式発表をご確認ください。

関連記事:CVSSとは?、ゼロデイ脆弱性とは?、マルウェアとウイルスの違い

関連記事:PHP2Shellとは:PHPの重大な脆弱性で何が起き、何をすべきか

あわせて読みたい:脆弱性診断とペネトレーションテストの違い