「セキュリティ製品だから安心」が一番危ない――VPN脆弱性の連発が問う信頼の置き場所

政府の基盤も、攻撃の入口は「守るための装置」

VPNVPN：インターネットなど公衆ネットワーク上に、暗号化された仮想的な専用通信路（トンネル）を構築する技術。詳しく見る →とは、外出先などから内部のネットワークへ安全に入るための「専用の通用口」を作る装置である。テレワークや拠点間の接続、保守会社の遠隔作業に使われ、多くの会社では、外からの攻撃を防ぐ「防火壁」の装置と一体になっている。

デジタル庁の発表と報道によれば、冒頭に書いた不正アクセスの経過はこうだ。6月25日、政府共通の業務基盤「ガバメントソリューションサービス（GSS）」で、保守運用担当者の利用者IDによる大量のファイル閲覧を検知した。7月9日、第三者がVPN装置の弱点を突いて侵入していたことが判明し、9月11日の公表に至った。漏えいの可能性があるのは、公務員など約18万9,000件と、関係する事業者など約5万7,000件である。

注目したいのは会見でのデジタル大臣の説明だ。弱点の存在は事前に把握していた。深刻度の評価は「中等度」で、緊急度の高いものから順に修正プログラムを当てている間に突かれた、という。

これを「お粗末だ」と笑える組織は、おそらく多くない。専門の体制を持つ政府の基盤ですら、順番待ちの間に入られた。では、情報システムの担当が1人の会社や、兼務の会社ではどうか。さらに、任されて保守を行っている業者でも、即時での対応は困難なのではないかと推測する。

これでもかと並べてみる

今年に入って表面化した主なVPN製品の弱点を表にまとめた。技術者向けの専門用語や「CVE」から始まる識別番号などは読み飛ばしていただきたい。見てほしいのは、量と顔ぶれ、そして途切れないことである。

公表時期	メーカー・製品	何が起きたか	悪用の状況
1月	Fortinet FortiOS／FortiProxy等	FortiCloud SSOの認証回避（CVE-2026-24858）	ゼロデイ悪用。CISA KEV登録（1/27）
1月	OpenSSL	12件を修正。CMS AuthEnvelopedData解析のスタックバッファオーバーフロー（CVE-2025-15467、High、認証前RCEの可能性）ほか	12件すべてAISLE社のAIが発見（同社発表）。悪用報告は未確認
1月	Fortinet FortiOS／FortiSwitchManager	ヒープベースのバッファオーバーフローによる任意コード実行（CVE-2025-25249）	CISA KEV登録（9/9）
2〜3月	SonicWall SSL-VPN（Gen6）	MFAバイパス（CVE-2024-12802）。パッチ適用後もLDAP設定の手動修正が必要	パッチ適用済み機器への侵入をReliaquestが複数確認。Gen6は4/16にEOL
3月	F5 BIG-IP APM	CVE-2025-53521	JPCERT/CC注意喚起（3/30）
3月	Citrix NetScaler ADC／Gateway	境界外読み取り（CVE-2026-3055）	JPCERT/CC注意喚起（3/31）
3月	Cisco Secure FMC／SCC	認証回避によるroot権限取得（CVE-2026-20079）	CISA KEV登録（9/9）
4月	OpenSSL	7件を修正。RSASVE鍵カプセル化で未初期化メモリが漏えい（CVE-2026-31790）ほか	悪用報告は未確認
4月	Cisco ASA／FTD	CVE-2025-20333、CVE-2025-20362（2025年から悪用継続）。CISAは4/23、修正版へ更新しても残る新たな永続化手法を警告	JPCERT/CC注意喚起を更新（4/27）
4月	SonicWall SonicOS（Gen7／Gen8）	管理インタフェースのアクセス制御不備（CVE-2026-0204）ほか2件	公表時点で悪用未確認
5月	Palo Alto PAN-OS（GlobalProtect）	認証回避（CVE-2026-0257）。当初Medium→悪用確認後Criticalに再評価	公表から数日で悪用。Qilinランサムウェアの侵入に利用。CISA KEV登録
5月	Palo Alto PAN-OS	CAS有効時の認証回避（CVE-2026-0265）。GlobalProtectでのVPN接続をHacktron AIが実証	JPCERT/CC注意喚起（5/22）
6月	Check Point Remote Access VPN／Mobile Access	IKEv1の証明書検証ロジック不備による認証回避（CVE-2026-50751、CVSS 9.3）。関連でCVE-2026-50752	5/7から悪用（修正は6/8）。数十組織が標的、Qilin関連1件。CISA KEV登録。50752は自社のAI基盤BLASTで発見
6月	OpenSSL	18件を修正。PKCS7_verify()のヒープUse-After-Free（CVE-2026-45447、High、RCEの可能性）ほか	研究者とClaude（Anthropic）の協働で発見
6月	Fortinet FortiGate（通称FortiBleed）	認証情報・設定ファイルの大量流通。194か国・86,644台超	国内企業分を含むことをJPCERT/CCが確認（6/23注意喚起）
6/30修正→8月	Citrix NetScaler ADC／Gateway	メモリオーバーフロー（CVE-2026-8452、CVSS 8.8）。当初DoS→8/14にwatchTowrが認証前root RCEのPoCを公開	数日で悪用開始。JPCERT/CC注意喚起（8/15）、CISA KEV登録（8/26）
7月	SonicWall SMA1000	認証前SSRF（CVE-2026-15409、CVSS 10.0）とRCE（CVE-2026-15410）	ゼロデイ悪用（6/22〜）。CISA KEV登録
7月	Check Point Security Management（SmartConsole）	認証回避（CVE-2026-16232）	悪用確認。CISA KEV登録（7/22）
8月	Cisco ASA／FTD	Remote Access SSL VPNへの細工したHTTPリクエストで装置が再起動（CVE-2026-20349、CVSS 8.6）	修正前から悪用（ゼロデイ）。CISA KEV登録（8/11、3日以内の対応期限）
8月	Citrix NetScaler ADC／Gateway	代替経路による認証回避（CVE-2026-19490、8/19公表）	CISA KEV登録（9/9）
8月	OpenSSL	追加の修正リリース（8/25）。AEAD認証タグの未検証、RPK処理のNULL参照など	確認できた範囲ではLow
9/1	SonicWall SMA1000	認証前SSRF（CVE-2026-83548、CVSS 10.0）とOSコマンドインジェクション（CVE-2026-83549）。連鎖で認証なしRCE	悪用確認。CISA KEV登録（9/2、対応期限9/5）
9/3	SonicWall NSM On-Prem（管理製品）	OSコマンドインジェクション（CVE-2026-78327、9.1）、パストラバーサル（CVE-2026-81939、9.1）ほか	公表時点で悪用未確認
9/9	Check Point Quantum Security Gateway	VPN証明書の信頼性検証不備（CVE-2026-85102）、ASN.1デコードのヒープオーバーフロー（CVE-2026-85103）。いずれもCVSS 9.8、認証前RCE	自社発見。公表時点は悪用未確認→9/22、CISAが85102の悪用を確認しKEV登録
9/16	Cisco Secure Firewall（ASA／FTD／FMC）	堅牢化リリース。アドバイザリ14件・CVE 29件、うちCritical 18件。sftunnel経由のroot任意コマンド実行（CVE-2026-20324、9.9）、Javaデシリアライズによる認証前root RCE（CVE-2026-20242、9.8）など	アクセス制御不備（CVE-2026-20332）に含まれる2件は悪用確認
9/16	Cisco ISE／ISE-PIC（ネットワーク認証基盤）	アドバイザリ15件・CVE 42件。管理APIの認証制御不備により認証回避とroot権限でのコマンド実行（CVE-2026-76460、CVSS 10.0）ほか	76460は悪用確認。CISA KEV登録（9/16）
9/17	Check Point Security Management／Log Server	認証前のroot権限コード実行（CVE-2026-91843）。7/22以降、管理サーバで5件目のCritical	公表時点で悪用未確認
9/22	Check Point Security Management／Log Server	パストラバーサル＋ファイルアップロードにより認証なしで任意スクリプト実行（CVE-2026-93616、CVSS 9.8。メーカー評価は1段階低い「High」）	「少数の顧客で攻撃を確認」。CISA KEV登録（9/22）
9/22	F5 BIG-IP APM	OAuth認可サーバ構成でのヒープベースのバッファオーバーフローによるRCE（CVE-2026-94127、CVSS 9.8）	自社発見。公表時点で悪用確認。CISA KEV登録（9/22）

まず、この5連休の前後だけを切り取ってみる。9月16日、シスコシステムズはファイアウォールファイアウォール：主にネットワークの境界で通信を監視し、送信元や宛先、ポートなどのルールにもとづいて許可・遮断する仕組み。詳しく見る →製品について14件の注意情報を一度に公開。弱点は29件、うち18件が最も高い深刻度だった。同じ日に、社内ネットワークの本人確認を担う同社の別製品でも42件の弱点が公表され、そのうちの1つは認証なしで最高権限を奪えるもので、すでに攻撃が確認されていた。

9月22日には、セキュリティ製品で知られるチェックポイント社の管理サーバの弱点が「すでに少数の顧客で攻撃を受けている」として公表された。また同社が9月9日に公表した時点では「悪用は未確認」だったVPN機能の弱点についても、米当局が悪用を確認したとして対応を求めた。

同じ9月22日、F5ネットワークスは自社で見つけた弱点について、公表と同時に「すでに悪用されている」と告げた。米当局は同日までの2日間で、ネットワーク関連製品の弱点5件を「悪用が確認された脆弱性」のリストに加えている。担当者が休んでいる間も、玄関はこじ開けられ続けているのである。

こうして見ると、世界の大手メーカーがほぼ出そろっている。「うちは有名メーカーの製品だから」「別のメーカーに替えれば」という話ではない。なお、表にある「OpenSSL」は装置の名前ではなく、通信を暗号化するための共通部品である。世界中のサーバに、そしてVPN装置そのものの中にも組み込まれている。各社の錠前に共通して使われている部品にも弱点が見つかっている、ということだ。

この表からは次の3つのことが読み取れる。第1に、鍵を持たずに通れてしまう型が多い。表に繰り返し出てくる「認証回避」がそれで、どれほど複雑なパスワードを決めていても関係がない。しかもこの装置は、外から社内につなぐものなので、当然のことながらインターネットに面したところに配置され、社外と社内への橋渡しを行い、社員のIDやパスワードを扱う。会社で最も危険な場所に置かれた、最も権限の強い装置である。警察庁の令和7年の統計では、ランサム攻撃の侵入経路は、判明した92件のうち61件、66.3％がVPN装置とされている。

第2に、発表時の危険度の「点数」や「悪用の有無」はあまり当てにならない。パロアルトネットワークスの5月の事案は、当初メーカー自身が「中程度」と評価していたが、実際の攻撃が確認されると「重大」に引き上げられた。シトリックスの8月の件も、当初の説明は「誤動作やサービス停止のおそれ」だったが、研究者が装置の完全な乗っ取りを実証すると、数日で攻撃が始まった。チェックポイント社の9月の件は、公表時は「悪用未確認」だったが、2週間もたたずに攻撃が確認された。GSSで突かれた弱点も「中等度」である。点数順に並べて順番に対応する、というもっともらしいやり方が、攻撃者の速度に追い抜かれている。

第3に、修正を当てても終わらないという点だ。2～3月に公表されたソニックウォールの件では、旧型機「Gen6」の修正版を入れただけでは不十分で、「対策済み」のはずの装置も破られてしまった。フォーティネットの6月の件では、過去に盗まれた8万6,000台超の装置のログイン情報が出回った。鍵穴を新品に替えても、盗まれた当時の鍵のコピーが出回っていれば意味がない。警察庁の統計でも、侵入された装置の43.7％は最新の修正を「適用済み」だったという。

AIの総点検で次々発覚する弱点

それにしても、なぜ今年はこれほど多いのか。大きな理由の1つはAIである。疲れを知らない優秀な点検員が、世界中のソフトウエアを総ざらいで調べ始めた、と考えればよい。米アンソロピックが4月に始めた共同点検「プロジェクト・グラスウィング」は、参加約50社で、1カ月に1万件を超える重大級の弱点を見つけたと報告している。米調査機関エポックAIの集計では、主要な組織が公表した重大級の弱点は、それまでの月間最高が約490件だったのに対し、7月は約2,500件と5倍になった。マイクロソフトの9月の定例更新も過去最多の約970件で、同社は自社製のAIで弱点を探し始めている。

量だけでなく、質も変わった。先ほどのOpenSSLは、世界で最も多くの専門家の目にさらされてきた部品の1つである。その1月の修正12件は、すべてAIが見つけたものだと発見者の企業は述べている。6月に修正された18件のうち唯一の重大な1件も、研究者とAIの協働による発見だった。セキュリティ製品のメーカーも動いている。チェックポイント社は6月、攻撃を受けた自社のVPN機能をAIで点検し直し、別の弱点を見つけて塞いだ。9月の連休中に公表されたF5の件も、シスコの一連の件の多くも、メーカーが自ら見つけたものである。シスコは9月16日の一連の公開を「堅牢化リリース」と呼んでおり、同じ種類の弱点をまとめて1つの番号で扱うほど、洗い出しの規模が大きくなっている。

私は、これを良い知らせだと考えている。こうした弱点はこれまで、攻撃者だけが知っていて黙って使う「秘密の裏口」だったからだ。現にチェックポイント社の6月の件では、修正が配られる1カ月前から、数十の組織が狙われていた。AIによる総点検とは、その裏口を守る側が先に見つけ、片端から塞いでいく営みである。攻撃者が隠し持つ武器は、公表のたびに1つずつ減っていく。

ただし条件がある。塞ぐための修正が配られても、その修正を当てなければ裏口は開いたままだ。しかも修正の公表は、攻撃者にとっては「ここに穴がある。だけではなく、どうやれば突破できるのか」という告知でもある。秘密の弱点を知らなかった攻撃者も、配られた修正をAIで分析して攻撃方法を開発する。

その速度も速くなっている。いまや修正の公表から攻撃の開始までは数日しかない。9月のF5の件のように、公表の時点で「もう悪用されている」ことも珍しくなくなった。

だから肝心なのは、しっかり追従し続けることである。もっとも、全てを即日にという話ではない。今年上半期に公表された弱点は約3万6,000件にのぼるが、実際に攻撃に使われたのは500件弱という集計もある。最優先は、外から直接届く装置と、すでに攻撃に使われている弱点である。

油断の正体は「信頼の置き場所」にある

これほど危うい弱点が、なぜ見過ごされるのか。私は、技術の問題というより「信頼の置き場所」の問題だと考えている。「これはセキュリティ製品です」「専門の業者が入れてくれました」「保守契約もあります」「だから、ここは安全です」。こうした報告に、自分で確かめた事実は1つもない。

皮肉な逆転が起きている。普通のサーバーなら、修正は当てたか、記録は見ているか、と誰かが疑問を投げかけるだろう。ところがVPN装置になると、「有名メーカーの製品が入っています」で会話が終わってしまうことも多い。不思議なことに「セキュリティ装置」という名前が付いた瞬間、普通のサーバーより警戒されなくなるのである。

とりわけ地方の自治体や病院、中小企業では、情報システムの担当が少人数か兼務で、「導入した業者が見てくれているはず」という対応になりやすい。一方の保守会社は「更新するかどうかはお客様の判断」と考えている。しかも、更新してトラブルになるのも恐れている。この責任の隙間に、頑張り屋の装置がぽつんと立っている。

象徴的な話がある。6月にフォーティネットのログイン情報が出回ったときには、自社の情報が漏れていないかを調べる検索サービスが公開された。ところが国内のセキュリティ調整機関であるJPCERT/CCは、装置の登録を保守の委託先や業者が代行していた場合、利用者自身の名前では検索結果に出てこないことがあると注意している。任せきりの会社ほど、自分が被害者かどうかさえ確かめにくいのである。

今さらながらの確認と、先に交わしておく約束

VPNはコロナ禍のときにリモートワークやリモート保守などのために大量に導入されたこともあり、多くの会社で使用されている。しかしながら今回、連発した「弱点の公表」に対して私が提案したいのは、新しいVPN製品の購入ではない。「今さらながらの確認」である。

まずは、そもそも持っているのかを含め、社外から社内へ入る通用口はいくつあるかを確認しておきたい。予備機、閉鎖した拠点、子会社、保守会社専用の回線まで数えたことがあるだろうか。この記事の表を担当者か保守会社に渡し、「うちはどれを使っているか」と聞くだけで、最初の一歩になる。

また、いま動いているソフトのバージョンはいくつで、最後に更新したのはいつか。装置の管理画面は、インターネットから届くのか届かないか。ログイン情報だけでは利用できないように二段階の本人確認が例外なく効くようになっているか。メーカーのサポート期限はいつか。そして弱点が公表されたとき、更新を判断するのは自社か、保守会社か。契約書を確認してほしい。連休や年末年始に弱点が公表されたとき、誰が気づき、誰が動くのかも、あわせて決めておきたい。

さらに、破られたら何で気づくのか。政府の業務基盤GSSの不正アクセス発覚のきっかけは、大量のファイル閲覧という異変の検知だった。装置の記録を残し、身に覚えのない管理者や設定の変更、海外からの不審なログインや利用はないかを監視している人はいるのか。

これらを確認したうえで、経営と事業部門の間で交わしておいてほしい約束がある。急いで修正を当てれば、十分な事前検証ができず、動かなくなるなどの不具合が出ることがある。現にマイクロソフトの9月の更新では、遠隔操作の機能が不安定になるなどの不具合が出て、6日後に緊急の修正が配られた。しかし、だからといって様子見を続ければ、GSSと同じ順番待ちになり遅きに失する。不具合なら、元に戻すか数日の不便で済む。しかし侵入されれば、調査と復旧に莫大なコストを要することになる。警察庁の統計では、被害組織の半数超が1000万円以上を費やしたという。

「外から届く装置の重大な弱点は、検証が不十分でも急いで更新する。それで一時的に業務が止まることがあっても、侵入されて被害が出るよりはよい」。この判断を、事が起きる前に確認しておくことだ。あわせて、更新前に設定の控えを取り、戻す手順を決めておく。さらに不具合が出ても担当者を責めない、と先に決めておく。現場が迷わず動けるかどうかは、この事前の決定にかかっている。

「セキュリティ製品」であることと、安全であることは別である。安全は、製品の名前に宿るものではない。いまの状態を知り、変化に気づき、すぐに動けることこそが「安全」だ。VPNは「守る装置」から「最前線の攻撃対象」になった。ならば私たちも、「守護神に任せるセキュリティ」から「守護神の状態を知り続けるセキュリティ」へ移らなければならない。

経営者は次の会議で聞いてみてほしい。「うちのVPN装置のバージョンを、いま答えられるのは誰ですか。そして重大な弱点が出たとき、業務を止めてでも更新すると決めてありますか」。