情報処理推進機構（IPA）は10月22日、JPCERTコーディネーションセンター（JPCERT/CC）と取りまとめた2026年7〜9月の「ソフトウェア等の脆弱性関連情報に関する届出状況」を公表した。この3か月に受け付けた届出は240件で、うちソフトウェア製品に関するものが179件、ウェブサイトに関するものが61件だった。ソフトウェア製品の179件は、今回の資料に載る2023年10〜12月以降の12四半期の数値の中で最も多い。一方、ウェブサイトの運営者に脆弱性を通知してから90日以上たっても修正の報告が無い届出は1067件あり、取扱い中の届出の半数を占めた。
ソフト製品の届出、前年同期の1.4倍
脆弱性（ぜいじゃくせい）は、ソフトウェアやウェブサイトの設計・実装の欠陥で、攻撃者に悪用されると情報の流出や不正な操作につながる。日本では、経済産業省の告示に基づく「情報セキュリティ早期警戒パートナーシップ」という制度が2004年7月から運用されている。発見者からの届出をIPAが受け付け、ソフトウェア製品についてはJPCERT/CCが開発者と対策や公表時期を調整する。ウェブサイトについてはIPAが運営者に直接知らせて修正を促す。IPAとJPCERT/CCは四半期ごとに、この制度で受けた届出と処理の状況を公表している。
7〜9月のソフトウェア製品の届出179件は、4〜6月の176件から3件増え、前年同期（2025年7〜9月）の126件の約1.4倍だった。過去3年の推移を見ると、2024年は四半期あたり57〜83件で推移していたが、2025年7〜9月に126件へ増え、その後は139〜179件の水準が続いている。資料はウェブサイトよりもソフトウェア製品に関する届出が多かったとしている。
ウェブサイトの届出は61件で、4〜6月の70件から減ったものの、前年同期の35件を上回った。合計の240件は4〜6月の246件をやや下回った。
なお、4〜6月の件数は今回の資料で改められている。7月に公表された4〜6月分の資料では、ソフトウェア製品が182件、ウェブサイトが65件、累計が2万315件だったが、今回の資料ではそれぞれ176件、70件、2万313件となっている。資料に修正の理由は書かれていない。
届出の受け付けを始めた2004年7月8日からの累計は2万553件になった。内訳はソフトウェア製品が6887件、ウェブサイトが1万3666件で、ウェブサイトが全体の約7割を占める。受け付け開始からの就業日数で割った1就業日あたりの届出件数は3.80件で、2025年10〜12月から同じ値が続いている。
脆弱性の届出件数（四半期ごと）（件）
ソフト製品ウェブサイト
数値で見る（単位: 件）
| 項目 | ソフト製品 | ウェブサイト |
|---|---|---|
| 25/2Q | 63 | 37 |
| 25/3Q | 126 | 35 |
| 25/4Q | 163 | 87 |
| 26/1Q | 139 | 69 |
| 26/2Q | 176 | 70 |
| 26/3Q | 179 | 61 |
スマホ向けアプリが最多、原因は「実装上の不備」
ソフトウェア製品の届出を製品の種類別に見ると、7〜9月は「スマートフォン向けアプリ」が30件で最も多く、「ウェブアプリケーションソフト」が25件で続いた。届出の累計では、ウェブアプリケーションソフトが39％で最も大きい。ライセンスの形態で分けると、誰でも利用・改変できるオープンソースソフトウェア（OSS）の届出は36件で、累計に占める割合は38％だった。
脆弱性の原因別では「その他実装上の不備」が135件と大半を占め、「ウェブアプリケーションの脆弱性」の18件が続いた。資料によると、その他実装上の不備にはコードインジェクションや認証の不備などが含まれる。悪用された場合の影響別では「任意のコマンドの実行」が22件で最も多く、「任意のコードの実行」と「なりすまし」がそれぞれ20件だった。
ウェブサイトの届出を脆弱性の種類別に見ると、7〜9月は公開すべきでないファイルを外部から閲覧できる状態にしていた「ファイルの誤った公開」が11件で最も多く、「クロスサイト・スクリプティング」が9件で続いた。累計ではクロスサイト・スクリプティングが56％を占め、「SQLインジェクション」が11％、「DNS情報の設定不備」が10％となっている。資料は、DNS情報の設定不備の割合には2008年から2009年にかけて多く届け出られた分が反映されていると説明している。
対策情報の公表は79件、45日以内は37％
ソフトウェア製品の脆弱性は、開発者が修正を終えるか回避方法を定めると、IPAとJPCERT/CCが共同で運営する脆弱性対策情報のポータルサイト「JVN（Japan Vulnerability Notes）」で対策情報が公表される。7〜9月に公表したのは79件で、累計は3315件になった。79件のうち12件は、開発者自身が自社製品の脆弱性を届け出たものだった。
届出を受理してからJVNで公表するまでの日数が45日以内だったのは29件で、79件の37％にあたる。受け付け開始以来の累計3315件で見ると、45日以内に公表できたのは28％で、72％は45日を超えた。累計の割合は2023年10〜12月から28〜29％で推移しており、資料は「製品開発者は脆弱性が悪用された場合の影響を認識し、迅速な対策を講じる必要があります」としている。
JVNでの公表より前に、電力や政府機関など重要インフラ事業者等へ対策情報を優先的に提供した件数は12件（電力分野6件、政府機関6件）だった。この優先提供は2018年4月に始まり、累計は113件（電力分野62件、政府機関51件）になった。
このほか、7〜9月には告示で定める届出の対象に当たらない「不受理」が16件、開発者が「脆弱性ではない」と判断したものが4件あった。9月末時点で取扱い中の届出は2721件。調整機関から連絡が取れない開発者の名前を公表して情報提供を求める「連絡不能開発者」は、7〜9月に新たな公表が無く、9月末時点で198件を一覧に載せている。
ウェブサイト、修正の報告が無いまま90日超が1067件
ウェブサイトの届出で7〜9月に取扱いを終えたのは39件だった。内訳は「修正完了」が19件、IPAと運営者が「脆弱性ではない」と判断したものが15件、「不受理」が5件。修正完了の19件のうち17件はウェブアプリケーションを直し、2件は該当するページを削除した。
IPAは修正の目安を、運営者が通知を受けてから3か月以内としている。7〜9月に修正を終えた19件のうち、90日以内に終えたのは15件（79％）だった。受け付け開始以来の修正完了の累計8975件では、90日以内の割合は70％で、2023年10〜12月から同じ割合が続いている。
修正の報告が無い届出について、IPAは1〜2か月ごとにメールや電話、郵送で運営者に連絡を取り、対策を促している。それでも、通知から90日以上たって修正の報告が無い「長期化」した届出は9月末時点で1067件あり、4〜6月末と同じ件数だった。取扱い中の2143件に占める割合は50％。長期化した届出のうち約15％は、ウェブサイトの情報が盗まれる危険性が高いSQLインジェクションだという。長期化の件数は2024年10〜12月末の950件から増え続け、2025年4〜6月末に1000件を超えた。
| 時点 | 取扱い中 | うち長期化 | 割合 |
|---|---|---|---|
| 2024年12月末 | 2045件 | 950件 | 46％ |
| 2025年6月末 | 2038件 | 1007件 | 49％ |
| 2025年12月末 | 2081件 | 1050件 | 50％ |
| 2026年6月末 | 2121件 | 1067件 | 50％ |
| 2026年9月末 | 2143件 | 1067件 | 50％ |
不正アクセスなど実際に起きた被害の報告は、JPCERT/CCが別の四半期レポートで集計している（サイト改ざんの報告、7〜9月は603件で前期の3倍超 JPCERT/CC四半期報告）。
10月からは内閣府への通知が始まる
今回の集計は、制度の運用が改まる直前の3か月にあたる。IPAとJPCERT/CCは10月1日、サイバー対処能力強化法などの施行に対応するため、制度の運用を定めた「情報セキュリティ早期警戒パートナーシップガイドライン」を改訂し、2026年版を公開した。2026年度の「情報システム等の脆弱性情報の取扱いに関する研究会」（座長・土居範久慶応義塾大学名誉教授）の検討結果を踏まえたもので、IPAから内閣府への通知対応と、その後の内閣府での対応を説明する付録を新設した（脆弱性の届出、10月から内閣府へ通知 IPAが改訂ガイドライン公開 悪用の疑いか影響大なら対象）。
報告書は関係者への要望も示した。製品開発者には、JPCERT/CCが公表日の調整などに使う「製品開発者リスト」への登録を求め、自社製品で見つけた脆弱性も JVN で利用者に知らせることができるとした。ウェブサイト運営者には、多くのサイトで使われているソフトウェア製品に脆弱性が見つかっているとして、自分のサイトでどの製品を使っているかを把握し、対策を実施するよう求めている。
一般のインターネット利用者に対しては、JVNやIPA、JPCERT/CCなど脆弱性情報や対策情報を公表しているサイトを参照し、パッチ（修正プログラム）の適用など自発的な対策を日ごろから心がけるよう呼びかけた。パソコンなどに入っているソフトウェア製品のバージョンを確かめられるツール「MyJVN バージョンチェッカ for .NET」も紹介している。脆弱性を見つけて届け出た発見者には、修正されるまで情報が第三者に漏れないよう適切に管理するよう求めた。