誰も探さなかっただけの「脆弱性ゼロ」――国産EOLソフトがAI時代に一番危ない理由

23年前のソフトに搭載されていた「ロック解除機能」

2026年10月15日、ソースネクストは、会員情報を管理するシステムが不正アクセスを受け、最大2,251万9,960件の個人情報が流出した可能性があると公表した。10月9日から会員情報を取得するためのAPI（外部のプログラムが情報を取り出すための窓口）が不正に使われ、13日に気づいて遮断するまでの4日間、氏名・住所・メールアドレス・生年月日に加えてパスワードまでが読み出されていたという。

私のところにも案内メールが届いた。正直に言えば「またか」である。9月から10月にかけて、情報漏えいの公表は数十社に及んでいる。言われた通りにパスワードを再設定し、ついでに、そもそも自分はこの会社から何を買ったのかと購買履歴を開いた。出てきたのは2003年に1件だけ「携快電話8」という、携帯電話、いわゆるガラケーの連絡帳をパソコンで管理するソフトだった。そうだ、確かに使っていた。

そして、もう一つ思い出した。あのソフトには、暗証番号のロックを解除する機能があった。当時の携帯の暗証番号は数字4桁だった。普通は携帯に接続したとき自分で入力するのだが、忘れた人のためにソフトが0000から9999までを片っ端から試し、あっという間にロックを外してくれる機能もついていたと記憶している。暗証番号を忘れた人のための、正規の機能だった。私も試して、その速さに感心した記憶がある。

道具が出ることで「破れない」という前提が終わる

ここで考えてほしい。あのソフトが出る以前、4桁の暗証番号の強度はどうだったのか。

組み合わせは1万通り。手で1万回押す人は、まずいない。つまり暗証番号4桁という設計は、「ケーブルでつないで機械的に試す道具が世の中にない」という前提の上で成り立っていた。携帯側に「10回間違えたらロックする」といった仕掛けがあったわけでもない。前提が崩れなければ、それで十分だったのである。

その前提は、市販のソフト1本で消えた。暗証番号が弱くなったのではない。「弱さ」を突く道具が、誰でも安く買えるようになった。これが本稿で一番言いたいことなので、言葉を変えてもう一度書く。「破られた報告がない」のは「破れない」からではなく、「破る道具がまだ市場に出ていなかった」からにすぎない。

当時、私が危ないと思ったのは携帯そのものではなかった。携帯とキャッシュカードの暗証番号を同じにしている人である。カバンごと落として拾われれば、携帯の暗証番号はソフトで試せば分かる。同じ番号ならカードも使われる。誕生日を暗証番号にしてはいけない、と同じ理屈だ。携帯の暗証番号が破られても、携帯だけなら被害は知れている。問題は、それに「依存している大事なもの」が同じカバンに入っていることだ。

「脆弱性ゼロ」のサポート終了ソフトは、安全ではなく未着手

ここからが本題である。2003年の携帯で起きたことが、いま、企業で起きている。

舞台は、サポートが終了した（EOL＝End of Lifeと呼ぶ）ソフトウェア、とりわけ設計図にあたるソースコードが公開されているオープンソースソフトウェア（OSS）である。その中でも私が最も危ないと考えているのが、日本で開発され、国内でしか使われておらず、しかも「脆弱性が1件も見つかっていない」OSSである。

「脆弱性ゼロ」は一見、安全の証に見える。だが、携帯の暗証番号で「破られた報告ゼロ」が何を意味していたかを思い出してほしい。国産でEOLを迎えたOSSに脆弱性の報告がないのは、穴がないからではない。説明書は日本語、利用者は国内だけ。海外の脆弱性研究者や攻撃者から見れば、ソースを読み込む手間に見合う対象ではなかった。要するに、誰も探していなかったのである。

その「探す手間」が、AIによってほぼゼロになった。2026年4月、Anthropicは「Project Glasswing」と称して、同社の最上位AIモデルで脆弱性を探す取り組みを公表した。開始から1カ月で1万件を超える深刻度の高い脆弱性を発見し、広く使われるOSS約1,000件を調べたところ、6,000件を超える高・重大レベルの脆弱性が見つかったという。公開されたソースを読み、穴を探し、攻撃コードまで組み立てる作業を、AIが人間の何倍もの速さでこなす時代が、もう来ている。

ここまでは公表されている事実である。ここから先は私の推測だが、国内でもインターネットに面したサイトで、「AIが公開情報から製品を特定し、公開ソースを解析して攻撃コードを生成し、侵入する」という流れとしか思えない事象を現実に目にしている。2003年の暗証番号の総当たりソフトの役を、いまAIが演じている。道具が出た日に4桁の暗証番号の「安全」が終わったように、国産・海外製を問わず「報告がないから安全」だったEOLソフトの前提が、いま終わりを迎えている。

道具に善悪はない。「直す人がいるか」が明暗を分ける

誤解のないように書いておきたい。AIが脆弱性を見つけること自体は、悪い知らせではない。

携帯の暗証番号解除は、忘れた人を助ける正規の機能だった。道具に善悪はない。AIの脆弱性探索も同じで、保守が続いているソフトにとっては「攻撃者が秘密兵器として隠し持っていた穴を先に潰してくれる」良い知らせである。見つかった穴は修正され、利用者が更新すれば終わる（当サイト「『セキュリティ製品だから安心』が一番危ない――VPN脆弱性の連発が問う信頼の置き場所」参照）。

明暗を分けるのは道具ではなく、「見つかる穴を直す人がいるかどうか」である。2003年のガラケーに、後から総当たり対策を足してくれる人はいなかった。あれは言ってみれば、携帯暗証番号のEOLだったのだ。EOLを迎えたOSSも同じで、AIが穴を見つけても、それを直す開発者はもういない。開発元に電話はつながらず、修正版も出ない。得をするのは攻撃者だけである。

この状況を経営の言葉に置き換えると、こうなる。ソフトウェアは「設計図が公開か非公開か」と、「保守が続いているか終わっているか」の2軸で、4つに分かれる。最も危険なのは、設計図が公開されていて、保守が終わっていて、かつインターネットに面している組み合わせだ。穴は誰でも探せ、見つけても誰も直さず、外からいつでも試せる。2003年のカバンの中身で例えれば、総当たりソフトが市販され、携帯の設計は変えられず、同じ暗証番号のカードが同じカバンに入っている状態である。加えて、実は、ソフトウェアの設計図が公開されていなくても、実物を解析することで同じレベルで解析されるのも時間の問題である。

ソフトの棚卸しの優先順位

では、どこから手をつけるか。私は次の順番での棚卸しを勧めている。

第1に、インターネットに面しているEOLソフト。外から試せる場所にある「直す人のいない穴」は最優先だ。第2に、その他のEOLソフト。社内にあるから安全なのではなく、別の入口から入った攻撃者が次に探すのはここである。第3に、EOL前ではあるが、そんなに有名ではないオープンソース。報告ゼロが「未着手」を意味しうる点では、EOLと同じ構造を抱えている。第4に、EOL前の有名ソフト。こちらは世界中が探し、直している分、更新への追従さえ怠らなければ相対的に安全だ。

もう一つ。開発が止まったソフトが別の開発者に引き継がれ、「フォーク」（枝分かれ）することがある。その場合は、引き継ぎ先が落ち着くのを見極めつつ、保守が継続している間に早めに乗り換えることを勧めたい。「様子見」の間に穴を探しているのは、人ではなくAIである。

ここで経営者に求められるのは、技術の判断ではない。情報システム部門や保守会社に、次の問いを投げることである。

わが社のシステムに、最後に修正版が出たのが5年以上前のソフトは何本あるか。そのうちインターネットから触れるものはどれか。その開発元に、今日、連絡はつくのか。

答えが「わからない」なら、早急に対応が必要である。あのカバンの中に同じ暗証番号のカードが入っていないか、確かめるのは今週なら間に合う。来月では間に合わないかもしれない。