最終更新日：
脆弱性とは、ソフトウェアや設定にある、攻撃に悪用されうるセキュリティ上の弱点です。
脆弱性は、プログラムの誤りや設計の不備、初期設定のままのパスワードなどから生まれます。広く使われる製品の脆弱性には、識別のための番号（CVE）が付けられます。日本では、JPCERT/CC と IPA が共同で運営する JVN（Japan Vulnerability Notes）で、脆弱性の情報と対策が公開されています。
業務のシステムでは、OSやミドルウェア、使っているライブラリの脆弱性の情報を追い、修正の版（セキュリティパッチ）を当てることが基本の対策です。自社のために作ったシステムの脆弱性は、脆弱性診断などで見つけます。
修正が出る前に悪用される「ゼロデイ攻撃」もあるため、更新だけに頼らず、WAFや権限の絞り込みなどの対策を重ねます。保守の契約では、脆弱性への対応を誰が、どのくらいの期間で行うかを、あらかじめ決めておきます。
関連する用語
- セキュリティパッチソフトウェアに見つかった脆弱性を直すために、提供元が配る修正のプログラムです。
- 脆弱性診断システムに脆弱性がないかを、専用の道具や技術者の手で調べることです。
- OWASP Top 10Webアプリケーションの重大なセキュリティのリスクを、OWASP が10項目にまとめた文書です。
- オープンソースソフトウェア（OSS）ソースコードが公開され、決められた条件のもとで誰でも使い、直し、配れるソフトウェアです。