流れ1の10語目 / 10

脆弱性

セキュリティ

sudo で設定ファイルを直し終えたあと

「そういえば、このサーバーに入ってるパッケージに脆弱性が出てるんだった。sudo でアップデートしといて」

「脆弱性」って、何のことだろう…?

脆弱性(ぜいじゃくせい)は、ソフトウェアにあるセキュリティ上の弱点(欠陥)です。

見つかると直した版が出るので、アップデートして弱点をふさぎます。

このページで分かること読む約4分・問題 3問

脆弱性(ぜいじゃくせい)は、ソフトウェアのセキュリティ上の弱点(欠陥)
脆弱性が見つかると、作った側が直した版(修正版・パッチ)を出す
公表された脆弱性の多くには「CVE-年-番号」の形の番号がついていて、世界中で同じ番号で呼ぶ
06の「22番を全開」や、08・09 で出てきた「chmod 777」のような設定ミス(設定不備)も、同じように狙われる弱点になる

身近な例えで理解する

車や家電に欠陥が見つかると、メーカーが公表して、無料で部品の交換や修理をします。お知らせが届いても、修理を受けなければ欠陥は残ったままです。

製品の欠陥脆弱性
メーカーが公表する脆弱性が公表される(番号がついて、誰でも調べられる)
部品の交換・修理アップデート(修正版・パッチを当てる)
修理を受けないと欠陥が残るアップデートしないと、弱点が開いたまま

違うところもあります。製品の欠陥はふつう偶然の事故につながりますが、脆弱性は、悪意のある人がわざとねらってきます。

ちょっと確認

Q14択

脆弱性の説明として正しいものはどれですか?

例えを外して、実際のしくみ

ここからは実際のしくみ

脆弱性とは

プログラムの作りの間違いなどが原因の、セキュリティ上の弱点です。悪用されると、勝手にサーバーに入られる、情報を盗まれる、サービスを止められる、などのおそれがあります。また、06 の「22番をどこからでも開ける」や、08・09 で出てきた「chmod 777」のような設定ミス(設定不備)も、同じように狙われる弱点になります。ソフトそのものの欠陥である脆弱性とは分けて呼ぶことが多いですが、ふさがなければならないのは同じです

アップデートで直す

脆弱性が見つかると、ソフトウェアを作った側が直した版(修正版・パッチ)を出します。Linuxでは、パッケージ管理のコマンドでまとめて新しい版にできます。たとえば Ubuntu なら sudo apt update のあと sudo apt upgrade、Red Hat Enterprise Linux(RHEL)系や Amazon Linux 2023 なら sudo dnf upgrade です(Ubuntu や RHEL は Linux の種類です。→42 ディストリビューション)。システム全体を変えるので sudo が必要です(→09 sudo、48 パッケージ管理)。種類によっては、アップデートのあと再起動が必要になります(→18 再起動とシャットダウン)

CVE番号

公表された脆弱性の多くには、「CVE-2026-xxxxx」のような番号(CVE-年-番号)がつき、世界中で同じ番号で呼びます。「どの脆弱性の話か」を取り違えずに伝えられます。深刻さは、CVSS という 0.0〜10.0 の点数で示されることが多いです

どこで調べるか

日本語では、IPA と JPCERT/CC が運営する JVN(Japan Vulnerability Notes)で、どの製品に・どんな脆弱性があり・どう対策するかを調べられます。英語では CVE.org や NIST の NVD があります。公表された脆弱性は、攻撃する側にも知られます。だから「何も起きていないから後で」ではなく、早めに直します(→19 アップデート(パッチ))。なお、このサイトの運営者は、注目の脆弱性を初心者向けにかみくだいて紹介する別のサイト「CVEノート」も作っています。ニュースを追う練習に使ってください

このページのまとめ

脆弱性: ソフトウェアのセキュリティ上の弱点(欠陥)
修正版・パッチ: 脆弱性を直した版。アップデートで当てます
CVE番号: 公表された脆弱性の多くにつく「CVE-年-番号」の番号。世界共通
JVN: 日本語で脆弱性と対策を調べられるサイト(IPA・JPCERT/CC)

先輩のひとことの意味

先輩「そういえば、このサーバーに入ってるパッケージに脆弱性が出てるんだった。sudo でアップデートしといて」

「このサーバーに入れてあるソフトウェア(パッケージ)に、セキュリティ上の弱点が見つかって公表された。直した版が出ているから、管理者の権限(sudo)でパッケージを新しい版にして、弱点をふさいでおいて」という意味です。公表されたあとは攻撃する側にも知られるので、早めに直すことが大事です。

練習問題で確かめる

Q2同期のひとこと

同期「この脆弱性、修正版は出てるけど、今のところ何も起きてないし、放っておいていいよね」

この考え方の問題は何ですか?

Q34択

セキュリティのニュースで見かける「CVE-2026-xxxxx」のような文字列は何ですか?

参考資料

ご意見・「これで例えて!」を募集しています

ご意見・ご感想・質問・間違いのご指摘など、何でもお気軽にお寄せください。「この言葉も例えで説明してほしい」「こんな例えなら分かりやすい」という声をもとに、新しいページや例えを作ります。

説明してほしいITの言葉
例えてほしい場面(部活・アルバイト・家事など)
分かりにくかったところ・間違いのご指摘

意見箱は準備中です。