セキュリティ編 第9章 / 全13章
脆弱性とアップデートとは
Vulnerability ・ CVE ・ パッチ
弱点は、見つかったらすぐふさぐ家の鍵の不具合のリコール。「この型の鍵は簡単に開く」と公表されたら、泥棒もそれを知る。交換（パッチ）は早いほどよい。
図とさわれるデモで確かめる →
ポイント
- ソフトには必ず弱点（脆弱性）が見つかる。見つかると修正版（パッチ）が配られる
- 弱点が公表されると、攻撃者もそれを知るので、修正までの速さが勝負
- インターネットに公開している機器やシステムほど、優先して直す
名前の由来
vulnus傷（ラテン語）-ability〜しやすさ
脆弱性：傷つきやすさ。ソフトの設計や作りの弱点。
仕事の現場では
まずは「自社が何を使っているか（台帳）」を把握することから。何があるかわからなければ、直すべきものもわかりません。公開しているWebサイトやVPN機器は、定期的に脆弱性診断を受けると安心です。
くわしく（正確な話）
- 公表された脆弱性には CVE という通し番号が付き、深刻さは CVSS という点数（0〜10）で表される。
- 修正が出る前に悪用される攻撃をゼロデイ攻撃と呼ぶ。
- 専門家が攻撃者の目線で弱点を探すのが、脆弱性診断・ペネトレーションテスト。
- ソフトに含まれる部品の一覧を SBOM と呼び、部品の弱点にすばやく気づくために使う。
うまれ：CVE は1999年に米国の非営利団体 MITRE が始めた。
この章の用語（意味と語源）
- 脆弱性 Vulnerability ・ ぜいじゃくせい
ソフトの設計や作りの弱点。攻撃の入口になる。
語源ラテン語 vulnus（傷）から、「傷つきやすさ」。
- CVE / CVSS シーブイイー / シーブイエスエス
公表された脆弱性の通し番号／その深刻さを表す点数（0〜10）。
覚えておく：例：CVE-2026-12345、CVSS 9.8（緊急）
語源Common Vulnerabilities and Exposures / Common Vulnerability Scoring System の頭文字。
- パッチ Patch
ソフトの不具合や弱点を直す修正プログラム。
語源patch（つぎ当て）。服の穴にあて布をするように、プログラムの穴をふさぐ。
- ゼロデイ攻撃 Zero-day Attack
修正が出る前の脆弱性を突く攻撃。
語源修正が出るまでの日数が「0日」のうちに攻撃されることから。
- 脆弱性診断 Vulnerability Assessment ・ Penetration Test
専門家が攻撃者の目線で、システムの弱点を探して報告すること。
語源penetration はラテン語 penetrare（中へ入り込む）から。
- SBOM エスボム
ソフトに含まれる部品（ライブラリなど）の一覧表。
部品に弱点が見つかったとき、影響を受けるソフトをすぐ特定できます。
語源Software Bill of Materials（ソフトウェアの部品表）の頭文字。