脆弱性ってなに？

「〇〇に重大な脆弱性」というニュースは、毎月のように流れてきます。ウェブサイトを動かすソフトウェア、ブラウザ、スマートフォン、AI のアプリ。名前を聞いたことがあるものだと、自分は大丈夫かと気になります。

そもそも脆弱性とは何で、ニュースを見たときに何をすればいいのか。はじめての人向けに順に見ていきます。

脆弱性は「鍵の壊れた窓」

脆弱性（ぜいじゃくせい）は、ソフトウェアの作りの弱いところです。作った人が思っていなかった使われ方をすると、本来できないはずのことができてしまいます。

家にたとえると、鍵の壊れた窓です。玄関にどれだけ立派な鍵を付けても、壊れた窓があれば、そこから入られてしまいます。

脆弱性が見つかると、作った側が窓を直した版（修正版・パッチ）を出します。使う側がその版に入れ替えて、はじめて窓がふさがります。直した版が出ていても、入れ替えるまでは窓は開いたままです。

ニュースの言葉、どう読む？

脆弱性のニュースには、決まった言葉がよく出てきます。

• CVE：脆弱性につける番号です。「CVE-2026-12345」のように、年と番号で書きます。同じ脆弱性の話かどうかを、番号で見分けられます。
• CVSS：深刻さの点数で、0〜10で表します。9以上は「緊急」の扱いで、すぐ対応したいものです。
• リモートコード実行：離れた場所から、相手のコンピューターで好きな命令を動かせてしまうことです。脆弱性の中でも、特に深刻な種類です。
• 認証なし：ログインしなくても攻撃できる、という意味です。だれでも狙えるので、深刻さが上がります。
• サポート終了：作った側が、直した版をもう出さなくなった古い版です。新しい脆弱性が見つかっても、ふさがりません。

知らせを見たら、何をする？

自分でサーバーやパソコンを管理していなくても、次の2つは見ておけます。

1. 使っているかを見る：自分のサイトやサービス、パソコンで、そのソフトウェアを使っているか。分からなければ、サイトを作った会社や、使っているサービスの案内を見ます。
2. 直した版にしたかを見る：サービスの会社は、お知らせのページで対応を案内しています。自分で入れ替える必要があるもの（アプリ・パソコン・自分で管理するサイトなど）は、直した版に入れ替えます。

サポート終了の版のまま動かしているものは、直した版が出ないので、新しい版へ移る計画を立てます。

AI の道具も、同じように更新する

脆弱性は、ウェブサイトだけの話ではありません。AI のアプリ、ブラウザの拡張機能、AI につなぐ道具も、ソフトウェアです。

• アプリや拡張機能は、自動で更新する設定にしておく
• 使わなくなった道具は外す：入れたままの道具も、窓のひとつです
• つなぐ道具には、必要なことだけを許す（最小権限）：もし窓が壊れても、入られた先でできることを小さくできます

最近の例

話題になった脆弱性は、「何が起きて、何をすればいいか」を1本ずつまとめています。

• PHP の脆弱性（2026年10月）、何をすればいい？

知らせを見たあと、「どれが当たるか」「だれが対応するか」「いつまでに入れ替えるか」を決めることになります。CLUBS の 案件 に残しておけば、次に同じような知らせが来たときも、前回の決めたことを読んでから動けます。