Web アプリには平均で 20件の脆弱性が存在する：マシン・スピードによる偵察に対抗するためには？

Barracuda Networks Analysis Finds 20 Vulnerabilities on Average Per Web App

2026/08/24 SecurityBoulevard — Barracuda Networks が公開したレポートによると、平均的な Web アプリケーションには 20 件のセキュリティ脆弱性が存在し、そのほぼ半数 (49%) が情報開示 (25%) またはブランドのなりすまし (24%) に関連するものである。さらに、クライアント側からの攻撃による露出は、検出されたセキュリティ上の欠陥の 14% を占め、データ露出とプライバシー・リスクは 10% を占めている。

Barracuda Networks の攻撃セキュリティ担当ディレクターである Merium Khalid は、「多くの組織が意図せずに、自組織に対する攻撃のために悪用が可能なデータを、サイバー犯罪者が容易に入手できる状態にしていることが明らかになった」とレポートで述べている。

さらに、Web アプリケーションを広範囲に偵察するサイバー犯罪者が、人工知能 (AI) ツールを悪用してメタデータを収集することが、これまで以上に容易になっている点が指摘されている。従来は数週間を要していた偵察が、現在では 1 日で可能になるという、きわめて深刻な問題が生じているという。

こうした状況に対してサイバーセキュリティ・チームに必要なのは、攻撃者に発見される前に、脆弱性を AI ツールで発見して修復することであると、Merium Khalid は主張している。事実上、サイバーセキュリティ・チームは時間との競争を強いられており、サイバー犯罪者が AI を利用して脆弱性を発見／悪用することは避けられず、それらの脆弱性の一部が悪用される前に組織が修復できる可能性は低い。その一方で同氏は、外部に公開されている Web アプリケーションはアクセスが容易であるため、最優先で対処すべきだと助言している。

サイバーセキュリティ・チームに求められるのは、最も深刻度が高い脆弱性だけにとどまらず、対策対象を広げることである。同氏によると、サイバー犯罪者は AI を利用し、単独では致命的ではない脆弱性を連鎖させ、はるかに深刻な攻撃につなげる手法に熟達しつつある。したがって、課題はアプリケーション開発チームの協力を得て、こうした脆弱性の多くを修復することにある。

サイバーセキュリティ・チームに必要なのは、アプリケーション開発者との連携を強化し、パッチの自動適用を可能にする DevSecOps のベスト・プラクティスを採用することであり、脆弱性修復の大幅な高速化を実現することだと、彼は指摘している。

Merium Khalid によると、多くのケースにおいてサイバー犯罪者が達成しているのは、新たなサイバー攻撃の考案ではなく、既存の戦術や技術を利用した攻撃のペースアップとなる。さらに、AI 時代において喫緊の課題となっているのは、マシン・スピードで仕掛けられる攻撃を阻止する方法の確立だという。

その一方で、AI 時代において安全な Web アプリケーションを構築してデプロイするためのコストが、どの程度増加するかは明確ではない。Web アプリケーションに非常に多くの脆弱性が存在する理由の 1 つは、多くの組織がセキュリティよりもデプロイ速度を優先してきたことにある。それにより、アプリケーションが侵害される可能性が高まり、マシン・スピードにより攻撃のペースも高まるにつれて、長年にわたり許容されてきたアプリケーション・セキュリティの負債が、いま大きな問題になりつつある。

組織に求められるのは、アプリケーション・セキュリティに対してより多くのリソースを割り当て、かつてないほど脆弱になっている可能性が高い無数の Web アプリケーションの脆弱性を修復するために、適切な水準のリソースを確保することである。しかし、過去の例を踏まえると、程度の差こそあれ、複数の大規模な侵害が発生する必要があるのかもしれない。

Barracuda Networks の報告書によると、Web アプリケーションには平均 20 件の欠陥が残されたまま運用されています。AI を悪用した自動検索の高速化により、情報漏洩やなりすましにつながる小さな問題が瞬時に見つけ出され、連鎖攻撃に悪用される危険性が高まっています。この状況への対処として、開発者との連携強化／DevSecOps の導入によるパッチ適用の自動化／AI を活用する診断ツールの導入／外部公開アプリケーションの優先保護が効果的です。セキュリティの負債を解消し、攻撃者よりも早く欠陥を塞ぐ体制を整えることが求められます。