脆弱性の届出240件、直ったのは98件　この2つを引き算してはいけない

2026年7月から9月の3か月で、ソフトやウェブサイトの脆弱性の届出が240件あった。内訳はソフトウェア製品179件、ウェブサイト61件。IPAとJPCERT/CCが10月に公表した集計だ。同じ3か月で修正が終わったのは、98件だった。

240と98。引き算して「142件が放置された」と読みたくなる。でも、そこが落とし穴だ。

98件は、240件の中から出た数じゃない

ソフトウェア製品の届出が「修正完了」になるまでには、段取りがある。まずIPAが届出を受け取って中身を確かめる。次にJPCERT/CCが開発者に連絡し、公表する日を決める。直ったら、IPAとJPCERT/CCが一緒に運営するJVNというサイトに載る。ここまで来て、ようやく1件が完了になる。

つまり、7〜9月に完了した98件の多くは、もっと前に届出があったものだ。逆に、7〜9月に届出された240件の多くは、まだ調整の途中にある。入ってきた数と、出ていった数は、別々に数えられている。

では、詰まり具合はどこを見れば分かるのか。報告書には「取扱い中」という数字がある。ソフトウェア製品が2,721件、ウェブサイトが2,143件。足すと4,864件。これが、順番を待っている列の長さになる。

90日たっても直っていないサイトが1,067件

ウェブサイトのほうは、もう少し生々しい。IPAが運営者に「あなたのサイトに弱いところがある」と知らせたあと、直すかどうかは運営者が決める。7〜9月に直った19件のうち15件は、通知から90日以内に終わった。割合にして79%。ここは速い。

問題は、終わっていない側だ。通知から90日以上たっても修正完了になっていないウェブサイトが、1,067件ある。取扱い中の2,143件の、ほぼ半分だ。

ソフトウェア製品も事情は似ている。届出を受けてから45日以内にJVNで公表できたのは、7〜9月で29件、37%。受付が始まってからの累計では928件で、28%にとどまる。開発者がつかまらないこともある。連絡が取れない開発者として名前を公表した件数は、累計で251件になった。

7〜9月にいちばん届出が多かったソフトの種類は、スマートフォン向けアプリの30件だった。次がウェブアプリケーションソフトの25件。スマホの中にあるアプリが、届出の先頭に立っている。

入ってきた数と、残っている数

脆弱性の届出は、2004年7月8日に受付が始まり、累計で20,553件になった。7〜9月のペースは、1就業日あたり3.80件。仕事のある日ごとに4件近く、「ここが弱い」が届いている計算だ。

この発表を伝えたニュースは、「ソフトウエア製品は179件」のように、入ってきた数字を見出しに立てていた。新しく見つかった件数は、確かに分かりやすい。ただ、同じ報告書の奥には、修正を待っている届出が4,864件あると書いてある。