NIST、2024年3月に受理した3,370件のCVEのうち199件を分析

2024年3月、米国国立標準技術研究所（NIST）は、受理した3,370件のCommon Vulnerabilities and Exposures（CVE）レコードのうち199件を分析した。同年には、413組織が40,000件超のCVEを報告した。システムはセキュリティ上の欠陥に名前を付け続けたが、それを説明するために構築された連邦データベースは遅れを取った。

これらの件数は別々の仕事を表している。識別子があれば、ベンダー、研究者、政府機関、ソフトウェア運用者は同じ報告済みの欠陥を指し示せる。分析では、影響を受ける製品、深刻度、文脈について、誰かが何をすべきか判断できるだけの情報を確立しなければならない。その作業が完了する前に名前を割り当てることはできる。

共通名が拡大したのは識別が分散されていたからだ

CVEシステムは、別々の関係者が報告された脆弱性を共通の参照先で扱う必要があるという調整上の問題を解くため、1999年に始まった。MITREがプログラムを維持しているが、大手ベンダーやその他の参加組織も識別子を割り当てられる。この委任により、誰かが欠陥に名前を付ける前にMITREが一つひとつ調査しなくても、レジストリは270,000件を超えるレコードへ拡大した。

NISTのNational Vulnerability Databaseは、より充実した公開参照情報を提供するため、CVE Listを基盤に構築された。その仕事はIDの発行とは異なる。影響を受けるソフトウェアを探す運用者には製品とバージョンの文脈が必要だ。デプロイを中断すべきか決める運用者は、その欠陥が悪用されているか、脆弱なコンポーネントが存在し到達可能かを知る必要がある。スコアだけでは、どちらの問いにも答えられない。

NISTの不足は一夜にして生じたわけではない。2025年までに同機関は、25,000件超の脆弱性というバックログに対処するための委託先を探していた。これは2017年に報告された従来の最多件数のおよそ10倍である。NISTは、2024年3月の分析件数が少なかった理由を省庁間支援の不足としていた。同年後半の資金の空白は、その後の方針変更の背景となったバックログに寄与した。アナリストを増やせば役立つが、各レコードでは依然として、報告、製品定義、パッチ、修正内容の間で調整が必要になる。識別子は、運用上の意味について信頼できる判断より容易に分散できる。

MITREの中立性は機能する訂正経路に依存する

MITREの2025年の資金をめぐる出来事は、識別子の層を壊さずに試した。MITREは資金が期限切れになったと述べた。CISAは支援を延長し、重要なCVEサービスに中断はないとした。この延長によりレジストリは稼働を続け、継続的な支援への依存も明らかになった。

ただし、継続性だけで信頼が定まるわけではない。2019年、VideoLANは報告されたVLCの問題に異議を唱えた。同社は、それが16カ月以上前に修正済みのサードパーティーライブラリにある問題だとし、MITREが根本の主張を確認していなかったと आरोपした。VideoLANの異議は、公開分類が誤っているか古くなっている場合に、影響を受けるメンテナーが必要とするものを示している。つまり、情報源をたどり、記述に異議を申し立て、その訂正がそれに依存する人々へ届く経路である。

MITREは共通名を維持できる一方で、NIST、CISA、ベンダー、運用者は緊急度について異なる判断を下せる。機械支援のランキングがパッチ適用順になるなら、その順序を出す機関は根拠と不服申し立ての経路を分かる形にしなければならない。中立的な識別子は、別の誰かが下した判断の責任を負えない。

NISTは分析の優先順位を明示した

2026年4月、NISTは詳細なNVD分析の対象を絞り込んだ。CISAのKnown Exploited Vulnerabilities Catalogに含まれるCVEと、重要ソフトウェア、連邦システム、または現在悪用されている資産に影響する欠陥へ重点を置いた。NISTは、ベンダーやその他の参加者がCVE識別子の割り当てを停止すると発表したわけではない。詳細分析を受けるレコードを変えたのである。

CISAの既知の悪用済み脆弱性カタログは、優先順位を付ける一つの理由を与える。攻撃者が利用している欠陥を特定し、CISAは連邦機関に対して、掲載された脆弱性を定められた期限内に修正するよう求めている。その後CISAは、ハッカーによるAI利用を理由に、最も重要な連邦脆弱性の期限を3日に短縮した。悪用のシグナルは、特定の運用者群に期限を与える。

既知の悪用を優先することは、すべての高深刻度ラベルを等しく緊急の修復指示として扱うより改善だが、穴は残る。カタログに載っていなくても危険な欠陥はある。また、連邦政府の優先順位が民間運用者の露出状況を表すとは限らない。NISTは公開分析の順序を決められるが、各組織はなお、自らが影響を受けるソフトウェアを実行しているか、それがどこで露出しているか、何を安全に停止できるかを判断しなければならない。運用者は、情報が拡充されていないNVDレコードから安全性を推論できない。

AIは発見を信頼できるものにするより、発見を生み出しやすくする

開発者は、レビュー待ちのキューにより速くコードを追加している。Stack Overflowの調査では、開発者の84%がワークフローでAIツールを利用している、または利用を予定していた。2024年の76%から増えた一方、AIの正確性を信頼する割合は43%から33%に低下した。企業は、結果として生じる大量の生成コードをレビューすることに苦慮している。セキュリティ研究者は、関連するツールを使って、そのコードやそれより前から存在するソフトウェアの弱点を見つけられる。

Anthropicは報告した。2026年4月から10月に見つかった検証済み脆弱性は5,500件であり、Glasswingのパートナーは4月から7月に129,000件超を報告した。そのうち33,000件超は重大または高深刻度と評価された。これらの報告された発見を、同数の新たなCVEエントリや完了済みのパッチと見なすべきではない。しかし、なぜ検証を発見の後回しにできないのかは示している。

同じ低コストの探索は、未検証の作業を他者の受信箱へ送り込むこともある。Googleは、無効なAI主導の報告を受け、OSS Vulnerability Reward Programへの製品欠陥の提出を凍結した。Curlは、低品質なAI生成報告がメンテナーの負担となったことを受け、HackerOneプログラムを終了する予定だった。バグバウンティの検証問題は、発見件数が省くコストを露わにする。誰かが主張を再現し、影響を受けるバージョンを特定し、重複を除外し、修正の責任者を決めなければならない。もっともらしい説明しか提示しない自動化された研究者は、その作業を受け手に移す。

攻撃者側の遅延も少ない。AI支援のエクスプロイト開発の分析は、パッチからエクスプロイトまで30分だった事例を挙げ、重大な問題では従来の開示期間が成り立たなくなる可能性があると論じた。その事例は起こり得る速度についての論拠であり、すべての脆弱性における測定済みの間隔ではない。それでも、確かな発見から承認された対応までの時間が、発見自体の正確性と並んで重要である理由を説明している。

証拠は露出した資産の所有者に届かなければならない

2026年10月、攻撃者は、欧州の約700のスーパーマーケットにあるインターネット接続された冷蔵コントローラーを侵害した。ClarotyとCISAが特定した3つのコントローラーモデルの重大な脆弱性を悪用したものだ。公開識別子は各欠陥に名前を付けられる。ClarotyとCISAの製品に関する調査結果は、影響を受けるモデルの特定に役立つ。しかし、どちらの段階も、それだけでは、どのコントローラーが接続されているか、冷蔵を妨げずにそれを隔離できるのは誰かをスーパーマーケット運用者に伝えられない。

Censysはインターネットホストとそのセキュリティ状態を監視している。&Truthを含め、形式的なソフトウェア検証に取り組むスタートアップは、ソフトウェアの挙動についてより強い証拠を生み出そうとしている。運用者は、欠陥について信頼できる主張を、自身が実際に動かしているシステムへ結び付けなければならない。

引き継ぎには、再現可能な発見、影響を受ける製品とバージョン、到達可能性または露出の証拠、責任を持つ所有者、そしてパッチ適用、隔離、リスク受容の判断が必要である。モデルがその評価を支援するなら、証拠を保存しておくことで、人間のレビュー担当者は入力に異議を唱え、誰が対応を承認したかを特定できる。

CVE番号はラベルに収まる。判断は、稼働中の冷蔵コントローラーのそばで、それを隔離するか決めなければならない運用者に委ねられる。