1. ソフトウェア等の脆弱性に関する取扱状況（概要）
1-1. 脆弱性関連情報の届出状況
～脆弱性の届出件数の累計は16,783件～
表1-1は情報セキュリティ早期警戒パートナーシップ（*1）における本四半期の脆弱性関連情報の届出件数、および届出受付開始（2004年7月8日）から本四半期末までの累計を示しています。本四半期のソフトウェア製品に関する届出件数は79件、ウェブアプリケーション（以降「ウェブサイト」）に関する届出は228件、合計307件でした。届出受付開始からの累計は16,783件で、内訳はソフトウェア製品に関するもの4,850件、ウェブサイトに関するもの11,933件でウェブサイトに関する届出が全体の約7割を占めています。
図1-1は過去3年間の届出件数の四半期ごとの推移を示したものです。本四半期は、ソフトウェア製品よりもウェブサイトに関して多くの届出がありました。表1-2は過去3年間の四半期ごとの届出の累計および1就業日あたりの届出件数の推移です。本四半期末までの1就業日あたりの届出件数は4.06件（*2）でした。
| 分類 | 本四半期件数 | 累計 |
|---|---|---|
| ソフトウェア製品 | 79 件 | 4,850 件 |
| ウェブサイト | 228 件 | 11,933 件 |
| 合計 | 307 件 | 16,783 件 |
| 2018 | 2019 | 2020 | 2021 | |||||||||
|---|---|---|---|---|---|---|---|---|---|---|---|---|
| 3Q | 4Q | 1Q | 2Q | 3Q | 4Q | 1Q | 2Q | 3Q | 4Q | 1Q | 2Q | |
| 累計届出件数 [件] |
13,999 | 14,090 | 14,213 | 14,710 | 15,055 | 15,227 | 15,488 | 15,676 | 15,922 | 16,225 | 16,476 | 16,783 |
| 1就業日あたり [件/日] |
4.03 | 3.99 | 3.96 | 4.03 | 4.06 | 4.04 | 4.04 | 4.03 | 4.03 | 4.04 | 4.05 | 4.06 |
1-2. 脆弱性の修正完了状況
～ソフトウェア製品およびウェブサイトの修正件数は累計10,399件～
表1-3は本四半期、および届出受付開始から本四半期末までのソフトウェア製品とウェブサイトの修正完了件数を示しています。ソフトウェア製品の場合、修正が完了すると（回避方法の策定のみでプログラムを修正しない場合を含む）、脆弱性情報や対策方法などをJVNに公表しています。
本四半期にJVN公表したソフトウェア製品の件数は49件（累計2,282件）でした。そのうち、4件は製品開発者による自社製品の脆弱性の届出でした。なお、届出を受理してからJVN公表までの日数が45日以内のものは18件（37%）でした。また、JVN公表前に重要インフラ事業者等へ脆弱性対策情報を優先提供したのは、2件（累計46件）でした。
修正完了したウェブサイトの件数は48件（累計8,117件）でした。修正を完了した48件のうち、ウェブアプリケーションを修正したものは45件（94%）、当該ページを削除したものは2件（4%）で、運用で回避したものは1件（2%）でした。なお、修正を完了した48件のうち、ウェブサイト運営者へ脆弱性関連情報を通知してから90日（*3）以内に修正が完了したものは45件（94%）でした。本四半期は、90日以内に修正完了した割合が、前四半期（75件中72件（96%））から減少しました。
| 分類 | 本四半期件数 | 累計 |
|---|---|---|
| ソフトウェア製品 | 49 件 | 2,282 件 |
| ウェブサイト | 48 件 | 8,117 件 |
| 合計 | 97 件 | 10,399 件 |
1-3. 連絡不能案件の取扱状況
本制度では、調整機関から連絡が取れない製品開発者を「連絡不能開発者」と呼び、連絡の糸口を得るため、当該製品開発者名等を公表して情報提供を求めています（*4）。製品開発者名を公表後、3ヶ月経過しても製品開発者から応答が得られない場合は、製品情報（対象製品の具体的な名称およびバージョン）を公表します。それでも応答が得られない場合は、情報提供の期限を追記します。情報提供の期限までに製品開発者から応答がない場合は、当該脆弱性情報の公表に向け、「情報セキュリティ早期警戒パートナーシップガイドライン」に定められた条件を満たしているかを公表判定委員会（*5）で判定します。その判定を踏まえ、IPAが公表すると判定した脆弱性情報はJVNに公表されます。
本四半期は、2件について製品開発者と連絡が取れたため調整を再開しました。連絡不能開発者として新たに製品開発者名を公表したものはありませんでした。 本四半期末時点の連絡不能開発者の累計公表件数は251件になります。また、公表判定委員会での判定を経て、1件の脆弱性情報がJVNに公表されました。
脚注
(*1) 情報セキュリティ早期警戒パートナーシップガイドライン
https://www.ipa.go.jp/security/ciadr/partnership_guide.html
https://www.jpcert.or.jp/vh/index.html
(*2) 1就業日あたりの届出件数は、「累計届出件数」/「届出受付開始からの就業日数」にて算出。
(*3) 対処の目安は、ウェブサイト運営者が脆弱性の通知を受けてから、3ヶ月以内としています。
(*4) 連絡不能開発者一覧：
https://jvn.jp/reply/index.html
(*5) 連絡不能案件の脆弱性情報を公表するか否かを判定するためにIPAが組織します。
法律、サイバーセキュリティ、当該ソフトウェア製品分野の専門的な知識や経験を有する専門家、かつ、当該案件と利害関係のない者で構成されています。
資料のダウンロード
(PDFファイル 1.31MB)参考情報
本件に関するお問い合わせ先
IPA セキュリティセンター 渡辺／板橋
Tel: 03-5978-7527 Fax: 03-5978-7552
E-mail: 
JPCERT/CC 早期警戒グループ 椎木／洞田
Tel: 03-6271-8901 Fax: 03-6271-8908
E-mail: 
アンケートのお願い
よろしければ今後のサービス向上を図るため、「ソフトウェア等の脆弱性関連情報に関する届出状況 [2021年第2四半期（4月～6月）] 」に関するアンケートにご協力ください。
＞
アンケート画面へ
更新履歴
| 2021年07月27日 | 掲載 |
|---|
