悪用された脆弱性の傾向分析

分析における前提条件

分析の対象は以下のとおり設定しています。

• 2023年1月～2025年1月の間にMITRE CVE Websiteに登録が行われた脆弱性であること
• 米サイバーセキュリティ・インフラストラクチャ・セキュリティ庁（CISA）が提供するKEV（Known Exploited Vulnerabilities Catalog）に掲載された脆弱性またはPwCが独自に悪用を観測した脆弱性であること

本分析では、上記の条件に合致する脆弱性568件（KEV：480件、PwC独自観測：88件）を対象としています。

分析観点1.ソフトウェア種別の傾向

最初に脆弱性が悪用されたソフトウェアをその性質に応じて独自の観点で約50種別に分類を行い、ソフトウェアの種別に傾向があるかを確認しました。分析結果は図表1のとおりとなります。なお、以下のグラフでは上位10種別までを記載し、それ以外はその他として分類を行っています。

図表1：悪用されたソフトウェアの分類

分類の結果、最も悪用されたソフトウェア種別は、VPN機器やファイアウォールなど、ネットワーク機器のOSでした。これは主にネットワーク機器がその性質上インターネットへの公開が必要なことから、ランサムウェアの感染経路として最も利用されやすいものであり、攻撃者が積極的に脆弱性の悪用にリソースを費やしているためと考えられます。総務省が2022年に公表した「サイバーセキュリティ戦略に基づく総務省の取組」や警察庁が2023年に公表した「令和5年上半期におけるサイバー空間をめぐる脅威の情勢等について」においても、ランサムウェアの感染経路としてVPN機器が最も利用されたと報告されています。

次いで、悪用が行われたソフトウェア種別はクライアントやサーバーのOSです。これらのOSは世界的に普及が進んでいること、また定期的に脆弱性の悪用可能性を証明するためのPoC（Proof of Concept）コードが公開されており悪用を試みやすいことが要因として考えられます。

また、ファイル共有ソフトウェアも悪用が多く確認されています。White Austaras（通称：TA505）と呼ばれる脅威アクターグループが利用すると考えられるCl0pというランサムウェアが、2023年頃から複数のファイル転送サービスの脆弱性を悪用していたことが要因と考えられます。

上記のとおり、今回の分析では上位10%のソフトウェア種別が悪用された脆弱性の約半数を占めるという結果が得られました。

分析観点3.脆弱性の攻撃手法の傾向

次に悪用された脆弱性で利用された攻撃方法を、攻撃者の行動を理解するためのフレームワークであるMITRE ATT&CK（Adversarial Tactics, Techniques, and Common Knowledge）に基づいて分類し、どのTacticsが最も利用されているかについて分析を行いました。注意点として、一つの脆弱性が複数の攻撃手法に関連する場合がありますが、本分析ではMITRE社が2025年2月に公開した脆弱性と攻撃手法を紐づけるための方法論であるPKEV（Prioritize Known Exploited Vulnerabilities）の考え方を参考にし、脆弱性そのものが直接的に引き起こす悪用手法（Exploitation Technique）として、どの攻撃手法が利用されたかを分析しています（図表4）。

図表4：PKEVのTacticsマッピング手法

分類にあたっては、PKEVで既に分類が行われている脆弱性についてはPKEVのデータを参照し、PKEVで分類が行われていない脆弱性についてはPwCで独自に分類を行っています。また、PwCが分類した脆弱性における注意点として、Exploitation Techniqueに該当する攻撃手法が複数にまたがる場合は、後半のTacticsを採用しています。例えば、ブラウザの脆弱性を利用（Initial Access：Drive-by Compromise）して、クライアント上で任意のコードを実行（Execution：Exploitation for Client Execution）する場合は、Executionとして分類しています。なお、PKEVの場合は厳密なルールが定まっていないように見受けられ、同様のケースを見たところ、両方の分類が存在していることを確認しています。

分類結果は図表5のとおりです。

図表5：悪用された脆弱性のTactics内訳

PKEVの評価結果、 PKEVの評価分を除くPwCの評価結果いずれにおいても、Initial Access、Execution、 Privilege Escalationが利用された攻撃手法の多くを占めていることが分かります。つまり、悪用される脆弱性の多くは端末への侵入・マルウェア感染や、特権を奪取するなどの攻撃の最初のステップとして利用されていると言えます。

上記のように、脆弱性がどのような攻撃手法であるかを分類することで、悪用されやすい脆弱性であるかを判断できる可能性があります。

まとめ

今回は4つの観点に基づき悪用された脆弱性の傾向分析を行いました。そのうち、以下の3つの観点において悪用された脆弱性には傾向が見えています。

• 脆弱性が悪用されやすいソフトウェアの種別が存在する
• 悪用された脆弱性のCVSSは比較的高い傾向にある
• 悪用される脆弱性の多くは端末への侵入（Initial Access）・実行（Execution）、特権の奪取（Privilege Escaration）など、攻撃の最初のステップとして利用されている

以下は、分析対象の脆弱性を上記の分析観点に基づいて分類した結果となります。表のとおり、条件が一致する脆弱性に件数が多く集中していることが分かります。

組織の脆弱性判断において、KEV等を用いて悪用されている脆弱性を優先的に対処するという考え方は近年増加傾向にありますが、悪用が確認されていない脆弱性については依然としてCVSSスコアをベースとした判断を行っている組織も多く見られます。増え続ける脆弱性に対してリソース不足が課題となる中、本分析で示した指標等を脆弱性判断の一つの要素として活用することで、よりリスクの高い脆弱性に対して効率的に対処することが期待されます。