IPA脆弱性届出2万件超｜累計7割がウェブサイト

IPA（情報処理推進機構）は2026年7月16日、「ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第2四半期（4月～6月）］」を公表しました。四半期の届出は247件、2004年7月の受付開始からの累計は20,315件です。

情シスがまず押さえたいのは内訳です。累計20,315件のうち13,599件（約67％＝およそ7割）がウェブサイト（ウェブアプリケーション）に関する届出でした。この制度は「脆弱性情報を受け取る仕組み」であると同時に、自社が運営するサイトの脆弱性を、見ず知らずの第三者から届け出られる側の仕組みでもあります。今すぐ確認すべきは、自社サイトについてIPAから連絡が来たときに受け取れる窓口があるか、という一点です。

この記事でわかること

• 2026年第2四半期の届出件数と、累計でウェブサイトが約7割を占める構図
• 自社サイトの脆弱性を第三者に届け出られたとき、何がどう進むのか
• 「修正完了」の実像（90日以内83％、一方で22％はページ削除）
• JVN iPediaは四半期だけで13,131件。全件追跡が現実的でない理由
• 情シスが今週やっておける、ごく現実的な備え

2026年第2四半期に何が公表されたのか

公表されたのは、IPAが受け付けた脆弱性の届出件数と処理状況の四半期統計です。主な数字は次のとおりです。

本四半期にJVNで公表されたソフトウェア製品は54件で、うち11件は製品開発者が自社製品の脆弱性を自ら届け出たものでした。ウェブサイト側は18件が修正完了しています。累計の受付ペースは1営業日あたり平均3.80件です。

なぜウェブサイトの届出がこれほど多いのか

ソフトウェア製品の脆弱性は開発ベンダーが対象ですが、ウェブサイトはそれを公開しているすべての企業・団体が対象になります。母数が桁違いに大きく、しかも外部から誰でも挙動を試せる。累計で約7割を占めるのは、この構造の当然の帰結といえます。

裏を返せば、コーポレートサイト、採用ページ、キャンペーン用のランディングページ、業務委託で作った申込フォーム——そうした「情シスが直接管理していないかもしれない」自社ドメインの資産も、すべて届出の対象になり得るということです。

届出が自社サイトに向いたら、何が起きるのか

IPAはウェブサイトの脆弱性の届出を受け取ると、まず当該サイトの運営者に連絡し、修正に向けた調整を始めます。ソフトウェア製品の場合はJPCERT/CCが調整機関として製品開発者への連絡・公表調整を担いますが、ウェブサイトは製品と違ってJVNで広く公表する性質のものではないため、運営者との個別調整が中心になります。

また、サイト運営者が外部からの連絡先を明示している場合、発見者はIPAを介さず直接その窓口に報告することも認められています。連絡先を用意しておくことは、脆弱性を早く知るための現実的な手段でもあるわけです。

連絡が取れないとどうなるのか

ソフトウェア製品の側には「連絡不能開発者」という仕組みがあります。調整機関から連絡が取れない製品開発者について、連絡の糸口を得るために製品開発者名等を公表して情報提供を求めるもので、累計251件が公表されています（本四半期の新規公表はありませんでした）。名前を公表しても3か月応答がない場合は、情報セキュリティ早期警戒パートナーシップガイドラインの条件を満たすかを公表判定委員会が判定する流れです。

これはソフトウェア製品向けの制度でウェブサイトにそのまま適用されるものではありませんが、示唆は明確です。連絡が取れない状態は、それ自体がリスクとして扱われるということです。自社が製品やアプライアンス、ソフトウェアを提供している立場でもあるなら、脆弱性の受付窓口が生きているかは一度確認しておく価値があります。

「修正完了」の中身を見ると現実が見える

統計で目を引くのは、処理のスピードと方法です。

• ウェブサイト：修正完了18件のうち15件（83％）が届出受付から90日以内に対応完了。
• ソフトウェア製品：JVN公表54件のうち、届出受付から45日以内に公表できたのは16件（30％）。
• 修正の方法：ウェブサイトの修正完了18件のうち、ウェブアプリケーションを修正したものが14件（78％）、当該ページを削除したものが4件（22％）。

この「ページを削除した22％」は、実務者なら思い当たる数字ではないでしょうか。指摘された機能がすでに誰も保守していない古いキャンペーンページで、直すコストも判断できる人も残っていない。だから消す。責められる選択ではありませんが、棚卸しができていれば、そもそも公開したままにしていなかったという話でもあります。

JVN iPediaは四半期で13,131件、全件追跡はもう無理

同じ7月、IPAは「脆弱性対策情報データベースJVN iPediaの登録状況［2026年第2四半期］」も公表しました（2026年7月15日）。四半期の登録は13,131件、累計290,167件です。内訳はNVD由来が13,011件と大半を占め、JVNが109件、国内の製品開発者からが11件でした。

登録された脆弱性の種類（CWE分類）の上位は次のとおりです。

2026年に登録された脆弱性のCVSSv3深刻度は、「危険」14.0％、「警告」42.5％、「注意」41.3％、「低」2.2％で、危険・警告を合わせると半数を超えます。四半期1万件超という母数を前に、全件を追って評価するという運用はすでに成立しません。深刻度の見方はCVSSとは？脆弱性の深刻度を評価する仕組みと使い方で、絞り込みの考え方は脆弱性管理とは？プロセスと情シスの進め方で整理しています。

なお2位のクロスサイト・スクリプティングは、まさにウェブサイトの届出で繰り返し指摘されてきた類型です（クロスサイトスクリプティング（XSS）とは？仕組みと対策）。

現場目線の所感

この統計を読んで一番こたえるのは、届出の多くが「情シスが把握していない自社ドメインの資産」に向かい得るという点です。事業部門が代理店経由で立てたキャンペーンサイト、数年前の展示会用フォーム、退職者が作ったまま残っているサブドメイン。存在を知らないものは、パッチも当てられなければ監視もできません。外部から指摘されて初めて知る、という順序になりがちです。

もう一つは、対応の速さが自分たちの技術力だけでは決まらないことです。制作会社との契約が切れている、CMSのバージョンアップが有償、そもそも決裁者が誰か分からない——45日以内の公表が30％にとどまるという数字は、製品開発者側の調整の難しさを示すものですが、社内の調整がいかに時間を食うかを知っている身としては、妙に納得してしまう割合でもあります。

だからこそ、届出が来てから慌てるのではなく、「連絡を受け取れる状態」と「自社ドメインの一覧」を先に作っておくことが、地味ですが最も効きます。

情シスはどうすべきか

自前で長大なチェックリストを作る前に、公的機関の指針を土台にするのが早道です。

• IPA「脆弱性関連情報の届出受付」：制度の全体像と流れ。自社が届け出る側／届け出られる側の両方の手順が確認できます。まずここを読み、社内の受け皿（誰が一次受けするか）を決めておきます。
• IPA「中小企業の情報セキュリティ対策ガイドライン」：資産の把握と体制づくりの基本形。ドメイン・サイトの棚卸しを始める根拠資料としても使えます。
• IPA「対策のしおり」：事業部門やサイト担当者への啓発用。「勝手にサイトを立てない・立てたら情シスに知らせる」という文化づくりは、結局は地道な周知の積み重ねでしか進みません。

加えて、既存サイトの当座の緩和策としてはWAFの適用範囲を見直すのも一手ですが、あくまで時間稼ぎであり、根本修正の代わりにはならない点は押さえておきたいところです。

まとめ

1. 2026年第2四半期の脆弱性届出は247件、累計20,315件。うち累計の約7割（13,599件）はウェブサイトに関する届出で、情シスは「届け出られる側」でもある。
2. ウェブサイトの修正完了18件のうち22％は「ページ削除」。直せない資産を公開し続けていた結果であり、ドメイン・サイトの棚卸しが最大の予防策になる。
3. JVN iPediaの登録は四半期で13,131件。全件追跡は非現実的で、深刻度と自社資産の突き合わせによる絞り込みが前提となる。

出典

• IPA「ソフトウェア等の脆弱性関連情報に関する届出状況［2026年第2四半期（4月～6月）］」（2026年7月16日公表）
• IPA「脆弱性対策情報データベースJVN iPediaの登録状況［2026年第2四半期（4月～6月）］」（2026年7月15日公表）
• IPA「脆弱性関連情報の届出受付」