脆弱性の悪用は公開の前へ、Red Hatが説く「ゼロCVE」からリスクベース管理への転換

　レッドハット（以下、Red Hat）は10月29日、AIによる脆弱性の大量発見を受けたソフトウェアサプライチェーン防御について記者会見を開いた。同社が7月にIBMと発表したOSS向けパッチ提供サービス「Lightwell」の仕組みを解説し、自社環境へのパッチの適合状況を調べる「Lightwellカバレッジ診断サービス」を無償で開始すると発表した。

悪用までの時間は公開前にマイナスへ

　会見ではまず、Red Hatのアジア太平洋地域担当最高技術責任者であるヴィンセント・カルデイラ（Vincent Caldeira）氏が、潜在的な脆弱性の数が315％の勢いで増えており、人手によるパッチ適用では人員が足りないと説明した。「脆弱性が悪用されてから初めてその存在を知るケースが増えており、悪用までの時間はマイナスに向かっています」と語る。

　製品セキュリティ担当バイスプレジデントのヴィンセント・ダネン（Vincent Danen）氏は、AnthropicがProject Glasswingの初回報告で、1000を超えるOSSプロジェクトから2万3000件超の欠陥を見つけ、うち6200件超が深刻度「高」または「クリティカル」だったと紹介した。脆弱性の公開から悪用までの平均日数を示す「Zero Day Clock」は9月初めにマイナス1日となり、関係者の多くはマイナス7日、つまり公開前に悪用されていると考えているという。

　一方、Red Hat製品に影響する脆弱性のうち悪用が確認されたのは、2025年は約5500件中9件。2026年は10月26日までにクリティカルの発見が30倍に増えたが、悪用が確認されたクリティカルはなく、悪用率は例年並みである。それでもダネン氏は「パニックは運用戦略ではありません」と述べ、統計で安心せず、堅牢化されたプラットフォームを備えるよう訴えた。

　カルデイラ氏は、規制対応で重視されがちな「ゼロCVE」を、終わりのない対応を強いる目標だと指摘する。代わりに、VEX（脆弱性が実環境で悪用可能かを機械可読に示す情報）で対処すべき脆弱性を絞り込み、多層防御で被害範囲を抑える「リスクベースの脆弱性管理」を提唱した。

サポート切れOSSにも公開前にパッチを提供

　Lightwellは、Maven、PyPI、npmといったリポジトリ経由で、企業が自社アプリケーションに組み込むOSSライブラリの修正版を提供するサービスだ。コミュニティの修正は基本的に最新版向けのため、レッドハット代表取締役社長の三浦美穂氏によれば、10年前のJavaやサポートが切れたPythonを使い続ける企業では、脆弱性の修正を誰が担うかが問題になる。Lightwellは使用中のバージョンに修正をバックポートして提供し、アプリケーションの大幅な改修なしに適用できる。

　メンバーシップは2種類ある。「Clearinghouse」は優先順位や上限の範囲内で修正を依頼でき、「Network」は新規依頼はできないが蓄積されたパッチを利用できる。修正はOSSコミュニティにも還元する。

Lightwellの仕組み

　特徴は、CVEとして公表される14日前にパッチが届く点にある。カルデイラ氏はこの14日を、提供から本番適用までの目安と位置づける。三浦氏は「もはや発見されてからでは遅いというほどのスピード感になっています」と語った。

無償診断で自社への影響を測る

　同日発表のLightwellカバレッジ診断サービスは、ライブラリ定義ファイル（CSV、CycloneDX、SPDX、POM、requirements.txt）から、Lightwellのパッチがどの程度適合するかを診断する。ソースコードは不要だ。三浦氏によると、SBOM（ソフトウェア部品表）が未整備で影響を測れない日本企業が少なくなく、契約前に自社のリスクを把握してもらう狙いがある。

Lightwellカバレッジ診断サービスの概要

　パッチ適用の自動化を問うと、同社のプリンシパル ソリューションアーキテクト北山氏は、Ansibleと、コンテナ環境での再ビルド・配布を担うAdvanced Developer Suite、コンサルティング支援をその答えとして示した。Red Hatは事前検知と適用自動化を組み合わせて、AI時代のリスクに対応する構えだ。