)」は、ソフトウェア製品に関する脆弱性対策情報を2007年4月25日から日本語で公開しています。NIST(*2)の脆弱性データベース「NVD(*3)」が公開した脆弱性対策情報を集約、翻訳しています。iPediaの公開を開始してから本四半期までの脆弱性対策情報の登録件数の累計は、107,650件になりました(表1-1、図1-1)。iPedia英語版へ登録した脆弱性対策情報は下表の通り、累計で2,066件になりました。iPediaへ登録した脆弱性対策情報を、共通脆弱性タイプ一覧(CWE)によって分類し、件数を集計したものです。集計結果は件数が多い順に、CWE-79(クロスサイトスクリプティング)が847件、CWE-20(不適切な入力確認)が503件、CWE-119(バッファエラー)が409件、CWE-200(情報漏えい)が354件、CWE-284(不適切なアクセス制御)が299件でした。件数の多かったCWE-79(クロスサイトスクリプティング)は、悪用されると偽のウェブページが表示されたり、情報が漏えいしたりするおそれがあります。製品開発者は、ソフトウェアの企画・設計段階から、脆弱性の低減に努めることが求められます。(*4)」や、「IPAセキュア・プログラミング講座(*5)」、脆弱性の仕組みを実習形式や演習機能で学ぶことができる脆弱性体験学習ツール「AppGoat(*6)」などを公開しています。iPediaに登録済みの脆弱性対策情報をCVSSv2の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。iPediaに登録した脆弱性対策情報は深刻度別に、レベルIIIが全体の26.3%、レベルIIが62.8%、レベルIが10.9%となっており、情報の漏えいや改ざんされるような危険度が高い脅威であるレベルII以上が89.1%を占めています。iPediaに登録済みの脆弱性対策情報をCVSSv3の値に基づいて深刻度別に分類し、登録年別にその推移を示したものです。iPediaに登録した脆弱性対策情報は深刻度別に、「緊急」が全体の16.2%、「重要」が42.0%、「警告」が40.5%、「注意」が1.3%となっています。既知の脆弱性による脅威を回避するため、製品開発者は常日頃から新たに報告される脆弱性対策情報に注意を払うと共に、脆弱性が解消されている製品へのバージョンアップやアップデートなどを速やかに行ってください。iPediaに登録済みの脆弱性対策情報をソフトウェア製品の種類別に件数を集計し、年次でその推移を示したものです。2019年で最も多い種別は「アプリケーション」に関する脆弱性対策情報で、2019年の件数全件の約76.4%(11,444件/全14,976件)を占めています。図2-5は重要インフラなどで利用される、産業用制御システムに関する脆弱性対策情報の件数を集計し、年次でその推移を示したものです。これまでに累計で2,177件を登録しています。iPediaへ登録された脆弱性対策情報の中で登録件数が多かった製品の上位20件を示したものです。本四半期は1位にサーバ管理ソフトウェアのcPanelがランクインしました。iPediaの情報元であるNVDにまとめて登録が行われたためと考えられます。2位から12位にはOS製品が並んでおり、特にWindows製品が多数ランクインしました。iPediaは、表に記載されている製品以外にも幅広い脆弱性対策情報を登録公開しています。製品の利用者や開発者は、自組織などで使用しているソフトウェアの脆弱性対策情報を迅速に入手し、効率的な対策に役立ててください(*8)。iPediaの脆弱性対策情報の上位20件を示したものです。本四半期は脆弱性対策情報ポータルサイトJVNで公開した脆弱性対策情報が上位20件を占めました。5,494表3-2は国内の製品開発者から収集した脆弱性対策情報でアクセスの多かった上位5件を示しています。Notes:脆弱性対策情報ポータルサイト。製品開発者の脆弱性への対応状況を公開し、システムのセキュリティ対策を支援しています。IPA、JPCERT/CCが共同で運営しています。科学技術分野における計測と標準に関する研究を行う機関。Database:NISTが運営する脆弱性データベース。脆弱性情報の収集や集めた情報の活用方法についての手引きをまとめたレポート「脆弱性対策の効果的な進め方(実践編)」を公開。5010005007126)。