脆弱性の情報は日本語で何日後に読めるか — 74 件で測った
5 分で読む
AI で攻撃が速くなり、脆弱性が公表されてから悪用されるまでの時間は、週から日の単位に縮みました（「AI 攻撃が急増」で増えたのは何か）。では、その脆弱性の情報は、日本語でいつ読めるようになるのでしょうか。
IT連携マップ編集部は、米国の CISA が 2026 年 9 月 1 日から 11 月 7 日に KEV（既知の悪用された脆弱性）カタログに入れた脆弱性のうち、CVE の記録が 2026 年に公開された 74 件を 1 件ずつたどりました。結論は、悪用は公開の日に始まり、日本語の情報は後から届く、です。74 件の 41%（30 件）は、CVE の記録の公開の前後 1 日のうちに KEV カタログに入りました。英語の NVD には 74 件すべてが 2 時間以内に掲載されましたが、日本語の JVN iPedia（脆弱性対策情報データベース）は中央値 4.6 日後で、JPCERT/CC の注意喚起が出たのは 15% でした。
だから、日本語の情報を待たずに、AI と自動化で自ら集めます。AI で守りの何を変えるかの全体は、AI を使った攻撃は AI でしか守れないのかにまとめています。ここでは、そのうち「脆弱性を知る」ところの速さを測りました。
なぜ今、脆弱性を知る速さが要るのか？
図は、AI と攻撃の速さについて、国と大手が書いたことを並べたものです。
| 発表元 | 書いたこと |
|---|---|
| 日本政府の Project YATA-Shield（2026 年 5 月） | AI の悪用で、攻撃のスピードと規模が劇的に増加している 内閣官房 国家サイバー統括室ほか関係省庁「AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について ～Project YATA-Shield～」（2026-05-18）原文サイバー攻撃に AI が悪用されることで、攻撃のスピード・規模が劇的に増加するなど出典を開く確認 2026-11-07 |
| Google Cloud | 2025 年後半に、公表から悪用までが週から日へ Google Cloud（2026・Cloud Threat Horizons Report 2026 年上半期版）原文Google Cloud Security observed the window between vulnerability disclosure to active exploitation collapse from weeks to days in the second half of 2025.出典を開く確認 2026-11-07 |
| 英国の NCSC（国家サイバーセキュリティセンター） | 公表から悪用までは日の単位に縮み、AI がさらに縮めることはほぼ確実 英国 NCSC（2025-05-07・2027 年までに AI がサイバー脅威に与える影響の評価）原文The time between disclosure and exploitation has shrunk to days and AI will almost certainly reduce this further.出典を開く確認 2026-11-07 |
| 米国の CISA | 攻撃者の AI が、修正の公開から悪用までの守る側の猶予を縮めうる CISA の拘束力のある運用指令 BOD 26-04（2026-06-10）原文their use of AI may further narrow the time defenders have to react between patch release and possible exploitation出典を開く確認 2026-11-07 |
| Cloudflare | 実証コードの公開から 22 分で悪用された例がある Cloudflare（2024-07-11・アプリケーションセキュリティ報告 2024 年版）原文we have seen exploits as fast as 22 minutes after a proof of concept was released.出典を開く確認 2026-11-07 |
国は、より高速かつ大量に脆弱性が発見・修正されることを前提に、対策を強めるよう求めています。 出典を開く確認 2026-11-07 出典を開く確認 2026-11-07内閣官房 国家サイバー統括室ほか関係省庁「AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について ～Project YATA-Shield～」（2026-05-18）原文
より高速かつ大量に脆弱性が発見・修正されることを前提とした対策強化
Google Cloud（2026・Cloud Threat Horizons Report 2026 年上半期版）原文
This activity, along with AI-assisted attempts to probe targets for information and continued threat actor emphasis on data-focused theft, indicates that organizations should be turning to more automatic defenses.
脆弱性の情報は、誰がどこに出すのか？
図は、脆弱性の情報が公開されたあと、英語と日本語のどこに掲載されるかを示したものです。製品ベンダーのセキュリティアドバイザリと CVE の記録で公開され、英語の NVD と KEV カタログに先に掲載され、日本語の JVN iPedia と注意喚起には後から掲載されます。KEV カタログは悪用が確認された脆弱性の一覧で、 出典を開く確認 2026-11-07CISA（米国サイバーセキュリティ・インフラストラクチャ安全保障庁）の KEV カタログ原文
CISA maintains the authoritative source of vulnerabilities that have been exploited in the wild.
悪用された 74 件は、どこに何日で掲載されたか？
図は、74 件が CVE の記録の公開から何日以内に掲載されたかを、掲載先ごとに積み上げたものです。
| 掲載先 | 掲載された件数 | 速さ |
|---|---|---|
| NVD（英語） | 74 件すべて | 2 時間以内（中央値 0.8 時間） |
| JVN iPedia（日本語） | 69 件（93%） | 中央値 4.6 日・2 日以内は 15 件 |
| JPCERT/CC の注意喚起 | 11 件（15%） | 出たうち 9 件は 2 日以内 |
| IPA の重要なセキュリティ情報 | 4 件 | 4 件とも 2 日以内 |
日本語の注意喚起は、出れば多くが 2 日以内でしたが、出たのは一部でした。JVN iPedia は、ほとんどの件を数日後に掲載しました。では、悪用は、どのくらい早く始まるのでしょうか。
どのくらい早く悪用されるのか？
図は、公開と同じころに悪用された割合を、私たちの 74 件と CISA の統計で比べたものです。
IT連携マップ編集部が数えると、74 件の 41%（30 件）が公開の前後 1 日のうちに KEV カタログに入りました。CISA の統計でも、悪用が確認された脆弱性の 42% は公表の当日に、50% は 2 日以内に使われていました。 出典を開く確認 2026-11-07CISA の BOD 22-01（廃止）原文
42% are being used on day 0 of disclosure; 50% within 2 days; and 75% within 28 days
この 30 件のうち JVN iPedia に掲載されたのは 27 件で、中央値 51 時間後でした。JPCERT/CC の注意喚起は 7 件でした。日本語の情報を待つと、悪用が分かってから日の単位で遅れます。修正が出る前から悪用される脆弱性は、ゼロデイ脆弱性と呼ばれます。では、各国は、対応の速さをどう決めているのでしょうか。
EU・米国・日本は、速さをどう決めているか？
図は、EU・米国・日本の速さの決まりを、起点と誰の義務かと一緒に並べたものです。
EU は製造者に 24 時間以内の早期の警告を求め、 出典を開く確認 2026-11-07 出典を開く確認 2026-11-07EU サイバーレジリエンス法（Regulation (EU) 2024/2847）第 14 条原文
within 24 hours of the manufacturer becoming aware of it
CISA の BOD 26-04 の実施の手引き原文
if CISA determines that the vulnerability is present in a publicly exposed asset, the technical impact is total, and that it is automatable by an adversary, the KEV's due date will reflect a 3-day patching deadline
日本語の情報を待たずに、どう知るか？
図は、国家サイバー統括室の 2026 年 11 月 5 日の注意喚起の対策例を、4 つの手順に並べたものです。この注意喚起は、攻撃者が標的の調査や侵害に AI を使っている可能性も高いと書いています。
| 順 | すること | 国の注意喚起の対策例 |
|---|---|---|
| 1 | ソフトウェア構成情報（使っている製品と版の一覧）を作る | 照合の前提 |
| 2 | セキュリティアドバイザリと KEV カタログを毎日集める。英語は AI に要約させる | 悪用が確認された脆弱性から先に確かめる |
| 3 | 構成情報と照合し、影響を速やかに特定する | 構成情報との照合 ・脆弱性管理ツールの活用 |
| 4 | 修正を当てるか、暫定的な緩和策でつなぐ | 機能の停止やアクセス制限 |
国の Project YATA-Shield も、高性能 AI を積極的にサイバー防御に活用するよう求めています。 出典を開く確認 2026-11-07内閣官房 国家サイバー統括室ほか関係省庁「AI 性能の高度化を踏まえたサイバーセキュリティ対策の強化について ～Project YATA-Shield～」（2026-05-18）原文
高性能 AI を積極的にサイバー防御に活用していくことも含め、対策強化を早急に進めていくことが必要である
サポートが終わったソフトウェアは修正が出ないので、照合しても直せません。注意喚起も、その継続使用を情報漏えいの原因とみられる例に挙げています。
ここから先は調査の詳細です（約 4 分）。上のカードだけで決められます。調べた 1 件ずつの記録は IT連携マップ に、出典 URL と調査日つきで公開しています。
調査の詳細
IT連携マップ編集部は、2026 年 11 月 7 日に、公開されている記録だけで次のことを数えました。調べた範囲は、CISA の KEV カタログ（2026 年 11 月 6 日の版）に 2026 年 9 月 1 日から 11 月 7 日に入った 82 件の全部です。そのうち、CVE の記録が 2026 年に公開された 74 件で速さを比べました。残りの 8 件は、2015〜2025 年に公開され、後から悪用が分かった脆弱性です。
掲載先の一覧
| 掲載先 | 誰が出すか | 何が分かるか |
|---|---|---|
| セキュリティアドバイザリ | 製品ベンダー（製品を作った会社） | 影響する版と直し方 |
| CVE の記録 | 番号を付ける組織 | 脆弱性の番号と概要（英語） |
| NVD | 米国の国立標準技術研究所（NIST） | 深刻度などの分析（英語） |
| KEV カタログ | 米国の CISA | 悪用が確認されたか（英語） |
| JVN iPedia | JVN（JPCERT/CC と IPA） | 日本語の脆弱性対策情報 |
| 注意喚起・重要なセキュリティ情報 | JPCERT/CC・IPA | 一部の脆弱性について、日本語で |
測り方
- 起点は、CVE の記録に書かれた公開の時刻です。
- NVD と JVN iPedia は、掲載された時刻が分の単位で分かるので、時間で数えました。JVN iPedia は、年ごとの一覧と、新しい 500 件の一覧を読みました。
- KEV カタログ（米国東部の日付）と、JPCERT/CC の注意喚起・IPA の重要なセキュリティ情報（日本の日付）は日付だけなので、翌日の日付までを「2 日以内」に数えました。KEV カタログには、CVE の記録より前の日付で掲載された件もあります。
- IPA の重要なセキュリティ情報は、題に CVE の番号を挙げたものだけを数えました。IPA が毎月出す Microsoft の月例の情報は、本文に CVE の番号を書いていないので、数に入っていません。
- 欧州の脆弱性データベース（EUVD）は、公開の時刻が CVE の記録と秒まで同じだったので、欧州がいつ掲載したかは分かりません。比べには使っていません。
1 件ずつの実例
| 脆弱性 | CVE の記録の公開 | NVD | KEV カタログ | JVN iPedia | JPCERT/CC の注意喚起 |
|---|---|---|---|---|---|
| PHP（CVE-2026-109618） | 10/21 22:48 | 0.5 時間後 | 10/26 | 10/23 18:45（43.9 時間後） | 10/22 |
| Citrix NetScaler（CVE-2026-88772） | 9/28 1:09 | 1.1 時間後 | 9/27（米国東部） | 9/29 15:41（38.5 時間後） | 9/28 |
| Brotli（CVE-2026-111497） | 10/22 22:35 | 0.7 時間後 | 10/27 | 10/27 13:38（111 時間後） | 10/26 |
| WordPress 本体（CVE-2026-119977） | 10/31 14:33 | 0.7 時間後 | 11/3 | 11/7 の時点で無い | 無い |
| SonicWall の VPN 機器（CVE-2026-19868） | 11/7 4:03 | 0.2 時間後 | 11/6（米国東部） | 11/7 の時点で無い | 無い |
時刻は日本時間です。PHP と Citrix は、IPA の重要なセキュリティ情報も JPCERT/CC と同じ日に出ました。PHP の脆弱性で業務システムが止まった時間は、予防的な停止（緊急メンテナンス）とはにまとめています。
JVN iPedia の停止
JVN iPedia と MyJVN は、2026 年 10 月 22 日からシステムメンテナンスのため止まっていて、再開の時期は決まっていません。停止の間も、JVN iPedia の新しい項目の一覧は更新されていました。74 件のうち 68 件は停止より前に公開された件で、その中央値も 4.7 日でした。JVN iPedia に掲載されていない 5 件のうち 4 件は、停止の後に公開された件です。
各国の決まりの詳しい内容
| 国・地域 | 決まり | 起点と対象 |
|---|---|---|
| EU | サイバーレジリエンス法の第 14 条。24 時間以内の早期の警告、72 時間以内の通知。EU サイバーレジリエンス法（Regulation (EU) 2024/2847）第 14 条原文within 72 hours of the manufacturer becoming aware of the actively exploited vulnerability出典を開く確認 2026-11-07 EU サイバーレジリエンス法（Regulation (EU) 2024/2847）第 71 条原文Article 14 shall apply from 11 September 2026出典を開く確認 2026-11-07 |
製造者が、悪用されていると気づいた時 |
| 米国 | 指令 BOD 26-04（2026 年 6 月から。前の指令 BOD 22-01 を置き換えた ）。外から届き、完全に乗っ取られ、攻撃を自動化できる場合は 3 日以内 | CISA が KEV カタログに掲載した日か、機関が自分の機器で見つけた日の早い方。CISA の拘束力のある運用指令 BOD 26-04（2026-06-10）原文The timelines defined in Table 1 begin when either (1) CISA adds the vulnerability to the KEV Catalog, or (2) pursuant to BOD 23-01, the agency enumerates or identifies the vulnerability on an asset出典を開く確認 2026-11-07 CISA の拘束力のある運用指令 BOD 26-04（2026-06-10）原文Whichever event occurs first starts the remediation timeline.出典を開く確認 2026-11-07 CISA の拘束力のある運用指令 BOD 26-04（2026-06-10）原文and to agencies operating those systems as "Federal Civilian Executive Branch" agencies出典を開く確認 2026-11-07 |
| 日本 | 公表日の目安は 45 日後。国の 2026 年 11 月 5 日の注意喚起は、対応の優先順位と期限を組織ごとに決めるよう求めていて、何日以内とは書いていない | JPCERT/CC が開発者に最初に連絡を試みた日。目安で義務ではない |
米国の指令の期限は、外から届くか・乗っ取られる程度・攻撃を自動化できるか・KEV カタログに掲載されているかで決まり、その表は画像だけで公開されているので、3 日以外の区分は書いていません。