情報セキュリティ

ソフトウェア等の脆弱性関連情報に関する届出状況[2023年第4四半期(10月~12月)]

公開日:2024年1月18日

最終更新日:2024年1月18日

独立行政法人情報処理推進機構
セキュリティセンター

1.ソフトウェア等の脆弱性に関する取扱状況(概要)

1-1.脆弱性関連情報の届出状況

脆弱性の届出件数の累計は18,663件

表1-1は情報セキュリティ早期警戒パートナーシップ脚注1における本四半期の脆弱性関連情報の届出件数、および届出受付開始(2004年7月8日)から本四半期末までの累計を示しています。本四半期のソフトウェア製品に関する届出件数は85件、ウェブアプリケーション(以下、ウェブサイト)に関する届出は225件、合計310件でした。届出受付開始からの累計は18,663件で、内訳はソフトウェア製品に関するもの5,670件、ウェブサイトに関するもの12,993件でウェブサイトに関する届出が全体の約7割を占めています。

図1-1は過去3年間の届出件数の四半期ごとの推移を示したものです。本四半期は、ソフトウェア製品よりもウェブサイトに関して多くの届出がありました。表1-2は過去3年間の四半期ごとの届出の累計および1就業日あたりの届出件数の推移です。本四半期末までの1就業日あたりの届出件数は3.93件脚注2でした。

表1-1.届出件数

ソフトウェア製品

本四半期件数

85件

累計

5,670件

ウェブサイト

本四半期件数

225件

累計

12,993件

合計

本四半期件数

310件

累計

18,663件

  • 図1-1.脆弱性の届出件数の四半期ごとの推移
表1-2.届出件数(過去3年間)

2021

累計届出件数[件]
  • 1Q:16,475
  • 2Q:16,778
  • 3Q:16,982
  • 4Q:17,130
1就業日あたり[件/日]
  • 1Q:4.04
  • 2Q:4.06
  • 3Q:4.05
  • 4Q:4.02

2022

累計届出件数[件]
  • 1Q:17,302
  • 2Q:17,468
  • 3Q:17,683
  • 4Q:17,842
1就業日あたり[件/日]
  • 1Q:4.01
  • 2Q:3.99
  • 3Q:3.98
  • 4Q:3.97

2023

累計届出件数[件]
  • 1Q:18,025
  • 2Q:18,195
  • 3Q:18,353
  • 4Q:18,663
1就業日あたり[件/日]
  • 1Q:3.95
  • 2Q:3.94
  • 3Q:3.92
  • 4Q:3.93

また、図1-2は、届出受付開始から2023年12月末までの届出件数の年ごとの推移です。過去、最も届出が多かった年は、「クロスサイト・スクリプティング」と「DNS情報の設定不備」に関して多くの届出がなされた2008年(2,622件)でした。2023年はソフトウェア製品が316件、ウェブサイトが505件の合計821件でした。ウェブサイトがソフトウェア製品の届出件数を上回り全体の62%を占めています。また昨年と比べて、ソフトウェア製品の届出は減少し、ウェブサイトの届出は増加しました。

  • 図1-2. 脆弱性の届出件数の年ごとの推移

1-2.脆弱性の修正完了状況

ソフトウェア製品およびウェブサイトの修正件数は累計11,352件

表1-3は本四半期、および届出受付開始から本四半期末までのソフトウェア製品とウェブサイトの修正完了件数を示しています。ソフトウェア製品の場合、修正が完了すると(回避方法の策定のみでプログラムを修正しない場合を含む)、脆弱性情報や対策方法などをJVNに公表しています。

本四半期にJVN公表したソフトウェア製品の件数は49件(累計2,691件)でした。そのうち、8件は製品開発者による自社製品の脆弱性の届出でした。なお、届出を受理してからJVN公表までの日数が45日以内のものは18件(37%)でした。また、JVN公表前に重要インフラ事業者等へ脆弱性対策情報を優先提供したのは、0件(累計69件)でした。

修正完了したウェブサイトの件数は54件(累計8,661件)でした。修正を完了した54件のうち、ウェブアプリケーションを修正したものは47件(87%)、当該ページを削除したものは7件(13%)で、運用で回避したものは0件(0%)でした。なお、修正を完了した54件のうち、ウェブサイト運営者へ脆弱性関連情報を通知してから90日脚注3以内に修正が完了したものは46件(85%)でした。

また、図1-3は、届出開始から2023年12月末までの修正完了件数の年ごとの推移を示しています。過去、修正を完了した件数が最も多かった年は2009年の1,401件でした。2023年は、ソフトウェア製品が203件、ウェブサイトが242件の合計445件でした。

  • 図1-3. 脆弱性の修正完了件数の年ごとの推移
表1-3.修正完了(JVN公表)

ソフトウェア製品

本四半期件数

49件

累計

2,691件

ウェブサイト

本四半期件数

54件

累計

8,661件

合計

本四半期件数

103件

累計

11,352件

1-3.連絡不能案件の取扱状況

本制度では、調整機関から連絡が取れない製品開発者を連絡不能開発者と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています脚注4。製品開発者名を公表後、3ヶ月経過しても製品開発者から応答が得られない場合は、製品情報(対象製品の具体的な名称およびバージョン)を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、情報セキュリティ早期警戒パートナーシップガイドラインに定められた条件を満たしているかを公表判定委員会脚注5で判定します。その判定を踏まえ、IPAが公表すると判定した脆弱性情報はJVNに公表されます。

本四半期は、連絡不能開発者として新たに製品開発者名を公表したものはありませんでした。本四半期末時点の連絡不能開発者の累計公表件数は251件になります。

脚注

  1. 脚注1
  2. 脚注2
    1就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出。
  3. 脚注3
    対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3ヶ月以内としています。
  4. 脚注4
  5. 脚注5
    連絡不能案件の脆弱性情報を公表するか否かを判定するためにIPAが組織します。 法律、サイバーセキュリティ、当該ソフトウェア製品分野の専門的な知識や経験を有する専門家、かつ、当該案件と利害関係のない者で構成されています。

資料のダウンロード

お問い合わせ先

IPA セキュリティセンター 渡辺/板橋

  • TEL

    03-5978-7527

  • FAX

    03-5978-7552

  • E-mail

    vuln-inqアットマークipa.go.jp

JPCERT/CC(ジェイピーサートシーシー)早期警戒グループ 椎木/洞田

  • TEL

    03-6271-8901

  • FAX

    03-6271-8908

  • E-mail

    vulturesアットマークjpcert.or.jp

更新履歴

  • 2024年1月18日

    掲載