入口になった脆弱性の評価は、緊急でも重大でもなく「中」でした。しかもデジタル庁は、その評価に見合う一般的な対応より前倒しして動いていたと説明しています。速く動いて、それでも間に合わなかった。だとすれば、次に変えるべきは速度のほうなのでしょうか。
デジタル庁が2026年9月11日に公表したガバメントソリューションサービス（GSS）への不正アクセスについて、同庁はQ&Aで、悪用された脆弱性は当初公表されていた評価では中（CVSS値Mediumレベル）のものだったと説明している。この脆弱性は攻撃が確認される前に公表された既知のもので、同庁は公表時の深刻度評価に応じた一般的対応よりも早く対処を進めたが、修正プログラムの適用前に悪用された。
GSSはゼロトラストアーキテクチャを採用していたが、結果として不正アクセスと情報漏えいの可能性が生じたとしている。同庁は再発防止として、実質的なリスクに基づく脆弱性管理の強化と、外部からの接続方法の改善を挙げた。漏えいした可能性がある個人情報は約24.6万件である。
なぜ「中」評価の脆弱性で破られたのか
もっとも重い一行は、件数ではない
この事案でもっとも重い一行は、件数ではありません。Q&Aに置かれた「当初公表されていた脆弱性評価においては、中（CVSS値Mediumレベル）のものでした」という記述です。政府共通の業務基盤に侵入された入口は、緊急でも重大でもなく、中と評価されていた穴でした。
事案の経緯と、24.6万件という数字の読み方そのものは別稿で整理しました。ここでは、その入口になった評価の話だけを追います。
CVSSは、脆弱性の技術的な特徴と深刻度を0.0から10.0のスコアで表す国際的な指標です。デジタル庁もQ&Aでそう注釈しています。押さえておきたいのは、公表時に示されるBase Scoreが評価しているのは、脆弱性そのものの技術的な性質だという点です。実際にその穴が狙われているか、自分の組織にとってどれだけ重要な資産にあるかは、別に考える必要があります。なお、今回の脆弱性については、CVSSのバージョンも数値も評価ベクトルも公表されていません。
問われているのは速度ではなく、軸のほう
ここが今回の核心です。デジタル庁は、この脆弱性は攻撃が確認される前に公表されていた既知のものであり、公表された際の深刻度評価に応じた一般的対応よりも早く対処を進めたと説明しています。そのうえで、修正プログラムの適用前に悪用される事態となったことを重く受け止めると書いています。
深刻度評価に見合う一般的な対応時期より、前倒しして動いた。それでも間に合わなかった。だとすれば、次に変えるべきは速度ではなく、優先順位を決める軸のほうになります。
デジタル庁自身も、そう書いています。今後の脆弱性対策について、政府情報システムの重要性を考慮し、より実質的なリスクに基づいて迅速かつ先行的な対応を行う、という言葉が置かれました。公表時の深刻度だけに頼らず、政府情報システムごとの実質的なリスクを重く見る方向を示したものと読めます。
米国は6月10日に、期限の決め方を変えた
世界の実務は、すでにこの方向へ動いています。米国のCISAは2026年6月10日、拘束的運用指令BOD 26-04「Prioritizing Security Updates Based on Risk」を発出しました。実際に悪用が確認された脆弱性を集めたKEVカタログを作ったBOD 22-01と、インターネットに面したシステムの修正期限を定めたBOD 19-02を、いずれも失効させたものです。
新しい指令は、脆弱性と資産の組み合わせごとに、その資産が公開されているか、CVEがKEVに載っているか、攻撃の自動化が可能か、成功したときの技術的な影響はどれほどか、という4つの変数で対応期限を決めます。深刻度スコアだけを緊急度の代わりに使わない設計です。FIRSTが公開するEPSSも、CVEが今後30日以内に悪用される確率を推定する指標として、同じ方向を向いています。対象は米国の連邦民生行政機関ですが、その考え方は米国外でも参照され得ます。
日本の規定も、その2日後に動いていた
同じ時期に、日本の側も動いています。内閣官房 国家サイバー統括室は2026年6月12日、「政府機関等の対策基準策定のためのガイドライン」を一部改定しました。改定事項の第1に挙げられたのが、脆弱性対策（セキュリティパッチ適用等）の強化です。
内容は4点あります。全情報システムについて、セキュリティパッチの適時の適用を前提とした運用設計を行うこと。サイバー攻撃の高度化・自動化等の状況をふまえ、運用設計を見直すこと。迅速な適用の要否を判断したうえで、脆弱性対策計画を策定・実施すること。そして、迅速な適用が必要な場合、情報システムの運用を一時停止することも検討することです。
最後の1点は踏み込んでいます。定例のメンテナンス時間を待たず、動いているシステムを止めてでも当てる判断があり得る、という話だからです。対象は政府機関26組織、独立行政法人86組織、指定法人10組織。改定はBOD 26-04の2日後にあたりますが、ガイドラインはCISAの指令に触れておらず、改定の理由は「最近の技術動向等を踏まえて」とだけ記されています。
そして、GSSでの検知は、この改定の13日後でした。
改定されたガイドラインの基礎にある政府統一基準も見ておきます。脆弱性対策を定める遵守事項7.2.1は、脆弱性情報を入手した場合、情報システムへの影響を考慮したうえで対策計画を策定し、措置を講ずることと定めています。日数の期限も、CVSSの閾値も、この遵守事項には書かれていません。3日・14日という期限を示すBOD 26-04とは、規定の書き方が異なります。どちらが優れているという話ではなく、何を機関の判断に委ねるかの設計が違う、ということです。
デジタル庁が「実質的なリスクに基づく」という言葉を使ったのは、この改定のおよそ3か月後でした。両者に直接のつながりがあるかは分かりません。ただ、脆弱性の公表時評価だけでなく、システムへの影響や攻撃の高度化・自動化を踏まえて対応の迅速性を判断する方向に、日米の政府機関が同じ時期に向き合っていることは確かです。
「常に侵害されている」と書いているのは、政府の基準のほうだった
Q&Aには、踏み込んだ問答がもうひとつあります。GSSはゼロトラストアーキテクチャを採用していることから安全ではなかったのか、という問いです。デジタル庁は採用していたことを認めたうえで、結果として不正アクセスと情報漏えいの可能性が生じたことを重く受け止めていると答えています。
ここは丁寧に読む必要があります。答えは、政府自身の基準に書かれています。政府統一基準（令和7年度版）の7.3は、ゼロトラストアーキテクチャを「組織内外を問わずネットワークは常に侵害されているものであるとの前提のもと、情報資産を保護し、情報セキュリティリスクの最小化を図るための情報セキュリティ対策における論理的・構造的な考え方」と定義し、「特定の実装やソリューションを指すものではない」と明記しています。
侵害されている前提に立つ考え方であって、侵入をゼロにする約束ではない。ネットワークの内か外かだけで信頼を決めず、利用者、端末、対象となるリソースに応じてアクセスを判断する考え方です。したがって、VPNを使っていること自体がゼロトラストと矛盾するわけではありません。問われるのは、接続したあとも必要最小限の範囲に絞れていたかのほうです。GSSの具体的な構成は公表されていないため、今回どの層が働き、どの層が破られたかまでは分かりません。デジタル庁が再発防止策に外部からの接続方法の改善を挙げ、侵入があった場合でも影響を最小限とする対策の強化を重ねて書いているのは、この領域に手を入れるという意味でしょう。
気づいたのは、侵入そのものではなかった
そして、見落とされがちな事実がひとつあります。今回の異常に気づいたきっかけは、侵入そのものではなく、侵入後のふるまいでした。保守運用担当者のアカウントでサーバ上の大量のファイルにアクセスが行われたことを検知して、調査が始まっています。入口で止めることはできませんでしたが、中での不自然な動きは捉えられました。どの監視機能が検知したのかは公表されていません。少なくとも、侵入後の大量のファイルアクセスを検知できた事実は残ります。
それでも、使われたのが保守運用担当者のアカウントだったことは重く響きます。運用を担うアカウントには広い権限が付与される場合があり、悪用されれば影響が大きくなり得ます。本件のアカウントの権限レベルやアクセスできた範囲は公表されていませんが、この層の扱いが再発防止の中心に来ることは想像に難くありません。
ここでも、制度文書は先に改定されていました。政府統一基準の7.1.3は、管理者権限の特権を持つ主体の識別コード及び主体認証情報が窃取された際の被害を最小化する措置を求めています。そして6月12日のガイドライン改定では、脆弱性対策とは別に、基幹システム等において、情報セキュリティインシデントにつながるおそれのある強い権限を持つ主体には、原則として多要素主体認証方式を導入することが加わりました。GSSでの適用状況は公表されていません。
これは政府だけの話ではない
脆弱性情報が流れてきたとき、どれから手を付けるか。限られた要員で対応するため、CVSSの深刻度を優先順位付けの材料にする運用は広く行われてきました。ただし、CVSSだけでは組織固有のリスクや対応順は決まりません。公表時のスコアだけで機械的に並べる運用では、中と評価された脆弱性は後ろに回り得ます。
デジタル庁は、政府情報システムの重要性を考慮した脆弱性管理へ移ると明言しました。この考え方が調達の仕様や委託先に求める運用へ反映されれば、システムを納める民間の側にも影響が及びます。この一文がどう具体化されるかは、霞が関の内側だけの話では終わりません。
【用語解説】
ガバメントソリューションサービス（GSS）
デジタル庁が各府省庁向けに一括して調達・提供する、政府共通の業務実施環境。職員が使うPCやネットワーク、認証、セキュリティ機能までを包括して扱う。
政府共通利用型システム
他の機関等を含め共通的に利用することを目的として、一つの機関等が管理・運用する情報システム。他機関のシステムと連携してセキュリティ機能を提供するものや、他機関に機器等を提供してその職員等が利用するものも含まれる。政府統一基準は5.4に専用の款を置き、管理機関と利用機関の責任分界や連携体制を定めることを求めている。
CVSS
脆弱性の技術的な特徴と深刻度を0.0から10.0のスコアで表す国際的な指標。深刻度は数値の範囲で段階分けされ、本件で悪用された脆弱性は当初、中にあたる評価とされていた。
Base Score
CVSSのうち、公表時に示されることの多い基本評価。脆弱性そのものの技術的な性質を評価するもので、実際に悪用されているかどうかや、自組織にとっての資産の重要性は含まれない。
ゼロトラストアーキテクチャ
ネットワークの内か外かだけで信頼を決めず、利用者、端末、対象となるリソースに応じてアクセスの可否を判断する設計思想。侵入をゼロにすることではなく、侵入後に動ける範囲を狭めることに重点がある。
BOD 26-04
米国CISAが2026年6月10日に発出した拘束的運用指令。正式名称は「Prioritizing Security Updates Based on Risk」。BOD 19-02とBOD 22-01を失効させ、資産の公開露出、KEV掲載の有無、攻撃の自動化可能性、技術的影響という4つの変数で修正の期限を決める方式へ移した。
KEVカタログ
CISAが公開する、実際に悪用が確認された脆弱性の一覧。BOD 22-01によって設けられ、BOD 26-04のもとでは4つの変数のひとつとして位置づけられている。
EPSS
FIRSTが公開する指標。公開済みのCVEが今後30日以内に悪用される確率を推定する。深刻度ではなく、悪用の見込みを扱う点に特徴がある。
CVE
公表された脆弱性に付与される識別番号。同じ脆弱性を各国・各組織が同一の記号で参照できるようにするために使われる。
連邦民生行政機関
米国の行政機関のうち、国防・情報コミュニティを除く範囲。CISAの拘束的運用指令が直接の対象とするのは、この範囲である。
【関連記事】
デジタル庁GSSに不正アクセス｜個人情報24.6万件が漏えいの可能性
本稿と同じ事案を扱ったニュース記事である。24.6万件の内訳と読み方、対象になり得る人が今日から取るべき備えを整理している。
デジタル庁の150名漏えい｜焦点は外部提供ファイルの作成手順
同じ官庁が1か月前に公表した事案である。原因が作業手順書の記載であり、外部からの攻撃による今回とは性質が大きく異なっている。
Magentoゼロデイ「StyleSmuggler」｜パッチを当てていた店が最初の被害者に
修正を適用していた側が最初の被害者になった事例。パッチの適用と安全とのあいだに横たわる距離を扱った記事である。今回と通じる。
Microsoft Defenderゼロデイ「BlueHammer」ら3件が悪用中
CVEが付番されず修正も提供されない期間に、何を暫定の策とするのかを整理した記事。空白の期間をどう埋めるかを扱っている。
【解説】厚労省、医療サイバー対策に137億円｜外部接続点の集約に129億円
外部との接続点をどう扱うかに予算が集中した事例である。接続方法の見直しという論点が、今回の再発防止策とそのまま重なっている。
【編集部後記】
VPN機器の管理体制を問われたQ&Aの回答は、短いものでした。GSSの一部としてデジタル庁が責任を持って管理し、マニュアルを整えたうえで職員が、場合によっては外部事業者に委託して運用している。組織の図としては、ごく普通です。
パッチが間に合わなかったのも、この普通の体制のどこかでした。脆弱性管理の強化という言葉が、どの工程の何日を縮めることなのか。続報で見たいのはそこです。
【参考リンク】
ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について｜デジタル庁（外部）
本件の一次情報にあたる公表文である。事案の概要、漏えいした可能性がある個人情報の内訳と属性、今後の取組までが記されている。
「ガバメントソリューションサービスへの不正アクセスによる職員等の個人情報の漏えいの可能性について」に関するQ&A｜デジタル庁（外部）
脆弱性の当初評価、それが既知のものであった旨、ゼロトラストの採用についての説明が置かれた一問一答。記事の論点はここに集まる。
政府機関等のサイバーセキュリティ対策のための統一基準（令和7年度版）｜国家サイバー統括室（外部）
脆弱性対策を定める遵守事項7.2.1と、ゼロトラストを定義する7.3が置かれている基準の本文である。PDF形式で全文が公開されている。
「政府機関等の対策基準策定のためのガイドライン」の一部改定（令和8年6月12日）のポイント｜国家サイバー統括室（外部）
脆弱性対策の強化を第1の改定事項に挙げた資料。5つの改定事項とそれぞれの主な内容、対象となる組織数が一覧の形で示されている。
BOD 26-04: Prioritizing Security Updates Based on Risk｜CISA（外部）
四つの変数で修正の期限を決める方式と、BOD 19-02およびBOD 22-01を失効させる旨が記された指令の本文である。
Known Exploited Vulnerabilities Catalog｜CISA（外部）
実際に悪用が確認された脆弱性の一覧。各項目にBOD 26-04にもとづく対応の指示と期限が添えられ、日々更新されている。
EPSS（Exploit Prediction Scoring System）｜FIRST（外部）
公開済みのCVEが今後30日以内に悪用される確率を推定する指標の公式ページ。算出の考え方と日々のデータが公開されている。
CVSS Specification Document｜FIRST（外部）
CVSSが何をどう評価する指標なのかを定めた仕様書である。基本評価とそれ以外の評価が担う役割の違いが、明確に整理されている。
NIST SP 800-207 Zero Trust Architecture｜NIST（外部）
ゼロトラストの考え方を体系化した文書。ネットワーク上の位置だけでは信頼を与えないという原則が示されている。PDF形式である。
【参考記事】
「政府機関等の対策基準策定のためのガイドライン」の令和8年度一部改定における脆弱性対策の強化｜PwC Japanグループ（外部）
6月12日の改定によって何が基本セキュリティ対策へ格上げされたのかを、実務で必要になる工程に分けて丁寧に解説した記事である。
What is CISA BOD 26-04: Impact on vulnerability remediation｜Tenable（外部）
四つの変数の組み合わせが16段階の期限になる仕組みと、最上位の区分では3日以内の修正が求められる点を詳しく解説している。
CISA BOD 26-04 Is Changing Risk-Based Vulnerability Management｜FedTech Magazine（外部）
BOD 22-01では14日または6か月の一律の期限だった運用が、どのように置き換わったのかを具体的に整理した記事である。
CISA’s BOD 26-04: A Risk-Based Reset of Patch Rules｜Cloud Security Alliance（外部）
深刻度を緊急度の代わりに使う従来手法の問題点と、新しい指令が採った四つの二値変数の設計を分析した、まとまりのよい研究ノート。
政府システムに不正アクセス、個人情報24.6万件漏えいか 原因は「既知のVPN脆弱性」 なぜ防げなかった？｜ITmedia ビジネスオンライン（外部）
脆弱性が既知のものであった点と、その把握時期をめぐる担当大臣の説明を伝えた記事。なぜ防げなかったのかを正面から問うている。
国の機関の業務環境GSSに不正侵入、職員の氏名など24万6000件漏洩の恐れ｜日経クロステック（外部）
検知から判明、そして封じ込めに至るまでの時系列を、技術的な観点から詳しく整理した記事である。発表の当日中に公開されたものだ。
