トップ ＞ 社会

「CVSSで重大」だけでは足りない　GitHubがEPSS併用で優先度付けを推奨

内容

GitHubが2025年の脆弱性動向を公表

GitHubは米国時間の2026年3月26日、自社で運営する「GitHub Advisory Database」の集計を基にしたレポートを公表しました。対象は2025年のOSSの脆弱性で、件数の推移、エコシステムごとの内訳、マルウェアの増加、脆弱性の種類などがまとめられています。このレポートを解説する記事が2026年10月30日に配信され、改めて話題になっています。

アラートは増え続けている

2025年にレビューを終えたアドバイザリは4101件で、2021年以来の少なさでした。ただしレポートは、これをOSSが安全になった結果とは見ていません。過去の脆弱性をさかのぼって確認する作業がほぼ終わりつつあることが理由だとしています。新たに報告された脆弱性だけに絞ると3734件で、前年から19％増えました。累計は2万4668件です。

npmのマルウェアに関するアドバイザリは前年から69％増の7197件で、「Shai-Hulud」などの大規模な攻撃キャンペーンが主な要因とされています。脆弱性の種類では、クロスサイトスクリプティング（XSS）が672件で3年続けて最多でした。2位はディレクトリ／パストラバーサル、3位は不正な認可です。

CVSSとEPSSを組み合わせる

こうしたアラートの増加を受けて、GitHubは深刻度を示すCVSSだけでなく、EPSSというスコアも合わせて使い、対応の順番を決めるよう勧めています。2つを比べると、CVSSで「重大」とされるアドバイザリは392件ありますが、EPSSで見ると11件にまで減ります。見出しにある「9割減らす」という表現は、この比較を指しています。

CVSSで「重大」でもすぐに直さなくてよい場合がある理由について、GitHubは、2つのスコアを照らし合わせることで、本当に差し迫った脅威にあたる脆弱性へ人手を集中できるためだと説明しています。EPSSの算出方法や、どの値を目安に「即対応」とするかといった具体的な基準は、報道で確認できる範囲では明らかになっていません。

今日からできること

GitHubが示している方向性は、CVSSの深刻度だけで対応の要否を決めず、EPSSも合わせて確認することです。また、GitHubのリポジトリで「Dependabot」のアラートを有効にしておくと、利用しているパッケージに新しいレビュー済みアドバイザリが出たときに自動で通知されます。

注目ポイント

「重大」と判定された脆弱性はすぐに直すべきだと考えてきた現場にとって、対象が数十分の一にまで絞られるという比較結果は意外性があります。OSSを使って開発している人の多くに関わる話です。限られた人員でアラートの数に追いつけないという悩みに、ひとつの判断材料を示した形です。一方で、絞り込んだ結果からこぼれた脆弱性をどう扱うかは、今後の焦点になりそうです。

ネットでの反応

SNSでは、優先順位付けの考え方を歓迎する声がある一方で、別の角度からの意見も目立ちます。脆弱性の公表から攻撃が始まるまでが短く、人の判断では間に合わないので自動アップデートに頼るしかないという投稿が広がっています。AIに脆弱性の確認や対応を任せたいという声もあります。

また、システムの中身を自分たちで把握していれば困ることはなく、ベンダーに任せきりの体制が物量に耐えられないだけだという意見がある一方、多くの企業が開発を外部に委託している現状では中身を自社で押さえるのは難しいという反論も出ています。報道はスコアの使い分けに焦点を当てていますが、ネット上では対応スピードや体制の問題として受け止める人も多く、論点にずれが見られます。

参考記事

• もう「CVSSで重大→修正急務」は限界 「即対応」脆弱性を9割減らすGitHub推奨の優先順位付け基準　2026年10月30日 18:16

ランキング登場履歴

この記事の内容に誤りを見つけた方は 情報の誤りを報告 からお知らせください。