脆弱性の届出、7〜9月は240件 製品ではスマホアプリが最多

何が公表されたのか

情報処理推進機構（IPA）と JPCERT/CC は2026年10月22日、ソフトウェアと Web サイトの脆弱性の届出状況をまとめた7〜9月の報告を公表しました。脆弱性はプログラムや設定にある安全上の弱点です。

届出は240件で、ソフトウェア製品が179件（4〜6月は176件）、Web サイトが61件（同70件）でした。2004年の受付開始からの累計は2万553件で、うち約7割を Web サイトが占めます。この制度は「情報セキュリティ早期警戒パートナーシップ」と呼ばれます。発見者から IPA が届出を受け、JPCERT/CC が開発者との公表日の調整などを担い、修正の準備ができると JVN（脆弱性対策情報のサイト）に載ります。

ソフトウェア製品

製品の種類では、スマートフォン向けアプリが30件で最も多く、Web アプリケーションソフトが25件で続きました。累計では Web アプリケーションソフトが39%で最多です。脆弱性の原因は、「その他実装上の不備」が135件と大半を占めました。影響では、任意のコマンドを実行されるものが22件で最多で、任意のコードの実行やなりすましが20件で続きます。オープンソースソフトウェアの届出は36件ありました。

修正が終わり、JVN で公表されたのは79件で、12件は製品の開発者が自社製品について届け出たものでした。届出の受理から45日以内に公表できたのは29件（37%）です。JVN に載せる前に、重要インフラ事業者などへ先に対策情報を渡したものも12件ありました。

開発者と連絡がつかない案件には手順があります。開発者名を公表して情報提供を求め、3か月たっても応答がなければ製品名と版を公表します。この四半期に新しく開発者名を公表したものはなく、連絡不能の開発者の公表は累計251件です。

Web サイト

受理された58件のうち、約5割は企業のサイトでした。脆弱性の種類では、ファイルの誤った公開が11件で最も多く、クロスサイト・スクリプティングが9件でした。ファイルの誤った公開は、バックアップや設定のファイルなどを、誰でも開ける場所に置いてしまうものです。クロスサイト・スクリプティングは、入力欄などを通じて、サイトを見た人のブラウザーで不正な命令を動かされる弱点です。影響では、個人情報の漏えいが13件で最多、なりすましが11件で続きました。累計ではクロスサイト・スクリプティングが56%を占め、SQL インジェクションが11%です。

修正が終わったのは19件で、うち15件（79%）は通知から90日以内に直っています。修正の方法は17件がプログラムの修正、2件がページの削除でした。IPA は、運営者が通知を受けてから3か月以内の対処を目安にしています。

一方で、通知から90日以上たっても修正の報告がないものが1,067件あり、前の四半期と同じ件数です。その約15%は、サイトの情報を盗まれる危険が高い SQL インジェクションです。IPA は1〜2か月ごとに、メールや電話、郵送で運営者に連絡して対策を促しています。

運営者へのお願い

報告書は Web サイトの運営者に、自分のサイトでどのソフトウェアを使っているかを把握して対策をとるよう求めています。IPA が出している資料として、「安全なウェブサイトの作り方」や「ウェブサイト運営者向けセキュリティ問い合わせ窓口設置の手引き」を挙げました。設定ファイルやバックアップファイルが盗まれる攻撃については相次ぐ漏えいで政府機関が一斉に注意喚起 IPAは点検手順を提示でも触れています。